The OVAL Astra Linux 5.11.1 2026-08-03T07:50:28.876880+00:00 Astra Linux 3.8 libfile-find-rule-perl File::Find::Rule through 0.34 for Perl is vulnerable to Arbitrary Code Execution when `grep()` encounters a crafted filename. A file handle is opened with the 2 argument form of `open()` allowing an attacker controlled filename to provide the MODE parameter to `open()`, turning the filename into a command to be executed. Example: $ mkdir /tmp/poc; echo > "/tmp/poc/|id" $ perl -MFile::Find::Rule \     -E 'File::Find::Rule->grep("foo")->in("/tmp/poc")' uid=1000(user) gid=1000(user) groups=1000(user),100(users) Уязвимость библиотеки Perl для поиска файлов File::Find::Rule связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 3.8 cairo An issue was discovered in cairo 1.16.0. There is an infinite loop in the function _arc_error_normalized in the file cairo-arc.c, related to _arc_max_angle_for_tolerance_normalized. Уязвимость функции _arc_error_normalized компонента cairo-arc.c библиотеки векторной графики Cairo связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) cairo: - При использовании ПО, использующего библиотеку cairo, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку cairo, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку cairo, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды cairosvg: - Использовать ПО cairosvg только на низком или отдельно выделенном уровне целостности - При использовании ПО cairosvg выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска cairosvg только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды pycairo: - Использовать ПО pycairo только на низком или отдельно выделенном уровне целостности - При использовании ПО pycairo выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска pycairo только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 gcc-12 libiberty/rust-demangle.c in GNU GCC 11.2 allows stack consumption in demangle_const, as demonstrated by nm-new. Уязвимость функции demangle_const компонента libiberty/rust-demangle.c компилятора GCC связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 3.8 libxml2 xmlXIncludeAddNode in xinclude.c in libxml2 before 2.11.0 has a use-after-free. Уязвимость функции xmlXIncludeAddNode компонента xinclude.c библиотеки Libxml2 связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.1) - При использовании ПО libxml2 выполнять обработку файлов, полученных только из доверенных источников - Используйте флаг XML_PARSE_NOXINCNODE при парсинге XML - Для утилиты xsltproc применяйте флаг --noxinclude - При использовании ПО libxml2 не вызывайте функцию xmlXIncludeProcess Astra Linux 3.8 binutils A potential heap based buffer overflow was found in _bfd_elf_slurp_version_tables() in bfd/elf.c. This may lead to loss of availability. Уязвимость функции _bfd_elf_slurp_version_tables() компонента bfd/elf.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 tiff libtiff 4.5.0 is vulnerable to Buffer Overflow via /libtiff/tools/tiffcrop.c:8499. Incorrect updating of buffer size after rotateImage() in tiffcrop cause heap-buffer-overflow and SEGV. Уязвимость функции rotateImage() компонента /libtiff/tools/tiffcrop.c библиотеки LibTIFF связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 tiff loadImage() in tools/tiffcrop.c in LibTIFF through 4.5.0 has a heap-based use after free via a crafted TIFF image. Уязвимость функции loadImage() компонента tools/tiffcrop.c библиотеки LibTIFF связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного TIFF изображения [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 tiff libtiff 4.5.0 is vulnerable to Buffer Overflow in uv_encode() when libtiff reads a corrupted little-endian TIFF file and specifies the output to be big-endian. Уязвимость функции uv_encode() библиотеки LibTIFF вызвана переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 tiff A null pointer dereference issue was found in Libtiff's tif_dir.c file. This issue may allow an attacker to pass a crafted TIFF image file to the tiffcp utility which triggers a runtime error that causes undefined behavior. This will result in an application crash, eventually leading to a denial of service. Уязвимость компонента tif_dir.c библиотеки LibTIFF связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного TIFF изображения [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 requests Requests is a HTTP library. Since Requests 2.3.0, Requests has been leaking Proxy-Authorization headers to destination servers when redirected to an HTTPS endpoint. This is a product of how we use `rebuild_proxies` to reattach the `Proxy-Authorization` header to requests. For HTTP connections sent through the tunnel, the proxy will identify the header in the request itself and remove it prior to forwarding to the destination server. However when sent over HTTPS, the `Proxy-Authorization` header must be sent in the CONNECT request as the proxy has no visibility into the tunneled request. This results in Requests forwarding proxy credentials to the destination server unintentionally, allowing a malicious actor to potentially exfiltrate sensitive information. This issue has been patched in version 2.31.0. Уязвимость библиотеки HTTP запросов языка программирования Python Requests связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.1) При использовании прокси с учетными данными в URL отключить автоматические редиректы. Для этого во всех вызовах requests.get(), requests.post() добавить следующий параметр: `allow_redirects=False` Обратите внимание, что если вы в настоящее время используете редиректы, вам нужно будет обрабатывать коды ответов 3xx вручную и убедиться, что новый запрос сделан к месту назначения перенаправления. - Отказаться от использования библиотеки requests в пользу других прокси - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Активировать режим замкнутой программной среды Astra Linux 3.8 poppler A vulnerability in Outline.cc for Poppler prior to 23.06.0 allows a remote attacker to cause a Denial of Service (DoS) (crash) via a crafted PDF file in OutlineItem::open. Уязвимость функции OutlineItem::open() библиотеки для рендеринга PDF-файлов Poppler связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 tiff A flaw was found in libtiff. A specially crafted tiff file can lead to a segmentation fault due to a buffer overflow in the Fax3Encode function in libtiff/tif_fax3.c, resulting in a denial of service. Уязвимость функции Fax3Encode компонента tif_fax3.c библиотеки LibTIFF связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного tiff файла [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 openjpeg2 A flaw was found in OpenJPEG. Maliciously constructed pictures can cause the program to enter a large loop and continuously print warning messages on the terminal. Уязвимость компонента t2.c библиотеки для кодирования и декодирования изображений OpenJPEG связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 3.8 procps Under some circumstances, this weakness allows a user who has access to run the “ps” utility on a machine, the ability to write almost unlimited amounts of unfiltered data into the process heap. Уязвимость утилиты сбора информации запущенных процессов ps набора утилит командной строки procps-ng связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем записи неограниченного объема нефильтрованных данных [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=2.5) procps: - Использовать ПО procps только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 traceroute In buc Traceroute 2.0.12 through 2.1.2 before 2.1.3, the wrapper scripts do not properly parse command lines. Уязвимость утилиты buc Traceroute связана с неправильной обработкой строк кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-234')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) traceroute: - Обеспечить возможность запуска ПО traceroute только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запускать ПО traceroute только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. psi/zmisc1.c, when SAFER mode is used, allows eexec seeds other than the Type 1 standard. Уязвимость компонента psi/zmisc1.c набора программного обеспечения обработки документов Ghostscript связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=5.5) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Fix coverity issue with unintentional integer overflow 1. Instead of multiplying 2 variable of different types. Change to assign a value of one variable and then multiply the other variable. 2. Add a int variable for multiplier calculation instead of calculating different types multiplier with dma_addr_t variable directly. Уязвимость функции mtk_drm_gem_dumb_create() модуля drivers/gpu/drm/mediatek/mtk_drm_gem.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт Mediatek ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 mariadb MariaDB Server 10.4 through 10.5.*, 10.6 through 10.6.*, 10.7 through 10.11.*, and 11.0 through 11.0.* can sometimes crash with an empty backtrace log. This may be related to make_aggr_tables_info and optimize_stage2. Уязвимость функций make_aggr_tables_info() и optimize_stage2() СУБД MariaDB связана с использованием методов оптимизации, снижающих безопасность кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1038')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 mariadb MariaDB Server 10.4 through 10.5.*, 10.6 through 10.6.*, 10.7 through 10.11.*, 11.0 through 11.0.*, and 11.1 through 11.4.* crashes in Item_direct_view_ref::derived_field_transformer_for_where. Уязвимость функции Item_direct_view_ref::derived_field_transformer_for_where() СУБД MariaDB связана с использованием методов оптимизации, снижающих безопасность кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1038')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 mariadb MariaDB Server 10.10 through 10.11.* and 11.0 through 11.4.* crashes in JOIN::fix_all_splittings_in_plan. Уязвимость функции JOIN::fix_all_splittings_in_plan() СУБД MariaDB связана с использованием методов оптимизации, снижающих безопасность кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1038')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntb_hw_switchtec: Fix shift-out-of-bounds in switchtec_ntb_mw_set_trans There is a kernel API ntb_mw_clear_trans() would pass 0 to both addr and size. This would make xlate_pos negative. [ 23.734156] switchtec switchtec0: MW 0: part 0 addr 0x0000000000000000 size 0x0000000000000000 [ 23.734158] ================================================================================ [ 23.734172] UBSAN: shift-out-of-bounds in drivers/ntb/hw/mscc/ntb_hw_switchtec.c:293:7 [ 23.734418] shift exponent -1 is negative Ensuring xlate_pos is a positive or zero before BIT. Уязвимость компонента drivers/ntb/hw/mscc/ntb_hw_switchtec.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix use-after-free in pci_bus_release_domain_nr() Commit c14f7ccc9f5d ("PCI: Assign PCI domain IDs by ida_alloc()") introduced a use-after-free bug in the bus removal cleanup. The issue was found with kfence: [ 19.293351] BUG: KFENCE: use-after-free read in pci_bus_release_domain_nr+0x10/0x70 [ 19.302817] Use-after-free read at 0x000000007f3b80eb (in kfence-#115): [ 19.309677] pci_bus_release_domain_nr+0x10/0x70 [ 19.309691] dw_pcie_host_deinit+0x28/0x78 [ 19.309702] tegra_pcie_deinit_controller+0x1c/0x38 [pcie_tegra194] [ 19.309734] tegra_pcie_dw_probe+0x648/0xb28 [pcie_tegra194] [ 19.309752] platform_probe+0x90/0xd8 ... [ 19.311457] kfence-#115: 0x00000000063a155a-0x00000000ba698da8, size=1072, cache=kmalloc-2k [ 19.311469] allocated by task 96 on cpu 10 at 19.279323s: [ 19.311562] __kmem_cache_alloc_node+0x260/0x278 [ 19.311571] kmalloc_trace+0x24/0x30 [ 19.311580] pci_alloc_bus+0x24/0xa0 [ 19.311590] pci_register_host_bridge+0x48/0x4b8 [ 19.311601] pci_scan_root_bus_bridge+0xc0/0xe8 [ 19.311613] pci_host_probe+0x18/0xc0 [ 19.311623] dw_pcie_host_init+0x2c0/0x568 [ 19.311630] tegra_pcie_dw_probe+0x610/0xb28 [pcie_tegra194] [ 19.311647] platform_probe+0x90/0xd8 ... [ 19.311782] freed by task 96 on cpu 10 at 19.285833s: [ 19.311799] release_pcibus_dev+0x30/0x40 [ 19.311808] device_release+0x30/0x90 [ 19.311814] kobject_put+0xa8/0x120 [ 19.311832] device_unregister+0x20/0x30 [ 19.311839] pci_remove_bus+0x78/0x88 [ 19.311850] pci_remove_root_bus+0x5c/0x98 [ 19.311860] dw_pcie_host_deinit+0x28/0x78 [ 19.311866] tegra_pcie_deinit_controller+0x1c/0x38 [pcie_tegra194] [ 19.311883] tegra_pcie_dw_probe+0x648/0xb28 [pcie_tegra194] [ 19.311900] platform_probe+0x90/0xd8 ... [ 19.313579] CPU: 10 PID: 96 Comm: kworker/u24:2 Not tainted 6.2.0 #4 [ 19.320171] Hardware name: /, BIOS 1.0-d7fb19b 08/10/2022 [ 19.325852] Workqueue: events_unbound deferred_probe_work_func The stack trace is a bit misleading as dw_pcie_host_deinit() doesn't directly call pci_bus_release_domain_nr(). The issue turns out to be in pci_remove_root_bus() which first calls pci_remove_bus() which frees the struct pci_bus when its struct device is released. Then pci_bus_release_domain_nr() is called and accesses the freed struct pci_bus. Reordering these fixes the issue. Уязвимость функции pci_bus_release_domain_nr() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 tiff An out-of-memory flaw was found in libtiff. Passing a crafted tiff file to TIFFOpen() API may allow a remote attacker to cause a denial of service via a craft input with size smaller than 379 KB. Уязвимость функции TIFFOpen() библиотеки LibTIFF связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного tiff файла [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 ansible-core An information disclosure flaw was found in ansible-core due to a failure to respect the ANSIBLE_NO_LOG configuration in some scenarios. Information is still included in the output in certain tasks, such as loop items. Depending on the task, this issue may include sensitive information, such as decrypted secret values. Уязвимость систем управления конфигурациями Ansible Core и Ansible связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-117'), NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N', score=5.0) Astra Linux 3.8 pam A vulnerability was found in PAM. The secret information is stored in memory, where the attacker can trigger the victim program to execute by sending characters to its standard input (stdin). As this occurs, the attacker can train the branch predictor to execute an ROP chain speculatively. This flaw could result in leaked passwords, such as those found in /etc/shadow while performing authentications. Уязвимость модуля аутентификации Linux-PAM связана с незащищённым хранением конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-922'), NistCWE(cwe='CWE-922')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=4.7) pam-p11: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Активировать режим замкнутой программной среды. pam: - Проверить, включен ли модуль pam_namespace. Если включен, отключить его; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 curl When asked to both use a `.netrc` file for credentials and to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has an entry that matches the redirect target hostname but the entry either omits just the password or omits both login and password. Уязвимость программного средства для взаимодействия с серверами CURL связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) - При использовании ПО curl не выполнять обработку файлов `.netrc` и не передавать учётные данные через аргумент `--netrc` - Если использование `.netrc` неизбежно, запретите пересылку аутентификационных данных на другие хосты, ограничив количество редиректов: `--max-redirs 0` - Не использовать запись `default` в файле `.netrc`. Оставляйте только конкретные записи для нужных хостов с явно указанными логином и паролем. Astra Linux 3.8 ansible-core A flaw was found in Ansible-Core. This vulnerability allows attackers to bypass unsafe content protections using the hostvars object to reference and execute templated content. This issue can lead to arbitrary code execution if remote data or module outputs are improperly templated within playbooks. Уязвимость систем управления конфигурациями Ansible и Ansible Core связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:L', score=5.5) Astra Linux 3.8 python3.11 The urllib.parse.urlsplit() and urlparse() functions improperly validated bracketed hosts (`[]`), allowing hosts that weren't IPv6 or IPvFuture. This behavior was not conformant to RFC 3986 and potentially enabled SSRF if a URL is processed by more than one URL parser. Уязвимость функций urllib.parse.urlsplit() и urlparse() интерпретатора языка программирования Python связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 php8.2 In PHP versions 8.3.* before 8.3.19 and 8.4.* before 8.4.5, a code sequence involving __set handler or ??=  operator and exceptions can lead to a use-after-free vulnerability. If the third party can control the memory layout leading to this, for example by supplying specially crafted inputs to the script, it could lead to remote code execution. Уязвимость функции php_request_shutdown интерпретатора языка программирования PHP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 libtasn1-6 A flaw in libtasn1 causes inefficient handling of specific certificate data. When processing a large number of elements in a certificate, libtasn1 takes much longer than expected, which can slow down or even crash the system. This flaw allows an attacker to send a specially crafted certificate, causing a denial of service attack. Уязвимость ASN.1 библиотеки Libtasn1 связана с алгоритмической сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Отказаться от использования библиотеки libtasn1-6 - При использовании ПО, использующего библиотеку libtasn1-6, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libtasn1-6, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libtasn1-6, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 3.8 gnutls28 A flaw was found in GnuTLS, which relies on libtasn1 for ASN.1 data processing. Due to an inefficient algorithm in libtasn1, decoding certain DER-encoded certificate data can take excessive time, leading to increased resource consumption. This flaw allows a remote attacker to send a specially crafted certificate, causing GnuTLS to become unresponsive or slow, resulting in a denial-of-service condition. Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с алгоритмической сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Отказаться от использования библиотеки gnutls28 - При использовании ПО, использующего библиотеку gnutls28, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку gnutls28, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку gnutls28, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 3.8 openssl Issue summary: Clients using RFC7250 Raw Public Keys (RPKs) to authenticate a server may fail to notice that the server was not authenticated, because handshakes don't abort as expected when the SSL_VERIFY_PEER verification mode is set. Impact summary: TLS and DTLS connections using raw public keys may be vulnerable to man-in-middle attacks when server authentication failure is not detected by clients. RPKs are disabled by default in both TLS clients and TLS servers. The issue only arises when TLS clients explicitly enable RPK use by the server, and the server, likewise, enables sending of an RPK instead of an X.509 certificate chain. The affected clients are those that then rely on the handshake to fail when the server's RPK fails to match one of the expected public keys, by setting the verification mode to SSL_VERIFY_PEER. Clients that enable server-side raw public keys can still find out that raw public key verification failed by calling SSL_get_verify_result(), and those that do, and take appropriate action, are not affected. This issue was introduced in the initial implementation of RPK support in OpenSSL 3.2. The FIPS modules in 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Уязвимость режима SSL_VERIFY_PEER криптографической библиотеки OpenSSL связана с отсутствием механизма уведомления пользователя об установлении сеанса связи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек-посередине» в ходе соединения TLS/DTLS [NistCWE(cwe='CWE-392')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам Astra Linux 3.8 easy-rsa Weak encryption algorithm in Easy-RSA version 3.0.5 through 3.1.7 allows a local attacker to more easily bruteforce the private CA key when created using OpenSSL 3 Уязвимость команды build-ca утилиты управления сертификатами Easy-RSA связана с недостаточно стойким шифрованием данных в результате использования алгоритма cipher:des-ede3-cbc. Эксплуатация уязвимости может позволить нарушителю реализовать атаку методом «грубой силы» (brute force) [NistCWE(cwe='CWE-326')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) Astra Linux 3.8 mariadb Vulnerability in the MySQL Server product of Oracle MySQL (component: Client: mysqldump). Supported versions that are affected are 8.0.36 and prior and 8.3.0 and prior. Difficult to exploit vulnerability allows unauthenticated attacker with logon to the infrastructure where MySQL Server executes to compromise MySQL Server. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of MySQL Server accessible data as well as unauthorized read access to a subset of MySQL Server accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of MySQL Server. CVSS 3.1 Base Score 4.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L). Уязвимость компонента mysqldump СУБД MySQL связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 389-ds-base A denial of service vulnerability was found in 389-ds-base ldap server. This issue may allow an authenticated user to cause a server crash while modifying `userPassword` using malformed input. Уязвимость сервера службы каталогов 389 Directory Server связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.7) Astra Linux 3.8 zabbix User with no permission to any of the Hosts can access and view host count & other statistics through System Information Widget in Global View Dashboard. Уязвимость универсальной системы мониторинга Zabbix связана с неправильным сохранением разрешений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-281'), NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix An administrator with restricted permissions can exploit the script execution functionality within the Monitoring Hosts section. The lack of default escaping for script parameters enabled this user ability to execute arbitrary code via the Ping script, thereby compromising infrastructure. Уязвимость компонента «Мониторинг хостов» универсальной системы мониторинга Zabbix связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=9.9) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix When a URL is added to the map element, it is recorded in the database with sequential IDs. Upon adding a new URL, the system retrieves the last sysmapelementurlid value and increments it by one. However, an issue arises when a user manually changes the sysmapelementurlid value by adding sysmapelementurlid + 1. This action prevents others from adding URLs to the map element. Уязвимость системы мониторинга Zabbix связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:L', score=2.2) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix Zabbix allows to configure SMS notifications. AT command injection occurs on "Zabbix Server" because there is no validation of "Number" field on Web nor on Zabbix server side. Attacker can run test of SMS providing specially crafted phone number and execute additional AT commands on modem. Уязвимость универсальной системы мониторинга Zabbix связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-77'), NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:L/A:N', score=3.0) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix Setting SMS media allows to set GSM modem file. Later this file is used as Linux device. But due everything is a file for Linux, it is possible to set another file, e.g. log file and zabbix_server will try to communicate with it as modem. As a result, log file will be broken with AT commands and small part for log file content will be leaked to UI. Уязвимость универсальной системы мониторинга Zabbix связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 linux-6.1 A race condition was found in the Linux kernel's scsi device driver in lpfc_unregister_fcf_rescan() function. This can result in a null pointer dereference issue, possibly leading to a kernel panic or denial of service issue. Уязвимость функции lpfc_unregister_fcf_rescan() компонента drivers/scsi/lpfc/lpfc_hbadisc.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:H', score=5.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 qtbase-opensource-src An issue was discovered in gui/util/qktxhandler.cpp in Qt before 5.15.17, 6.x before 6.2.12, 6.3.x through 6.5.x before 6.5.5, and 6.6.x before 6.6.2. A buffer overflow and application crash can occur via a crafted KTX image file. Уязвимость компонента gui/util/qktxhandler.cpp кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного KTX изображения [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) qtbase-opensource-src: - Запускайте приложения, использующие qtbase-opensource-src, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте строгую проверку и валидацию всех данных, передаваемых в приложения на Qt, чтобы избежать угроз, связанных с неподтверждёнными или вредоносными данными. - Отказаться от использования ПО qtbase-opensource-src в пользу ПО gtk+3.0 Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix use-after-free bug The bug can be triggered by sending a single amdgpu_gem_userptr_ioctl to the AMDGPU DRM driver on any ASICs with an invalid address and size. The bug was reported by Joonkyo Jung <joonkyoj@yonsei.ac.kr>. For example the following code: static void Syzkaller1(int fd) { struct drm_amdgpu_gem_userptr arg; int ret; arg.addr = 0xffffffffffff0000; arg.size = 0x80000000; /*2 Gb*/ arg.flags = 0x7; ret = drmIoctl(fd, 0xc1186451/*amdgpu_gem_userptr_ioctl*/, &arg); } Due to the address and size are not valid there is a failure in amdgpu_hmm_register->mmu_interval_notifier_insert->__mmu_interval_notifier_insert-> check_shl_overflow, but we even the amdgpu_hmm_register failure we still call amdgpu_hmm_unregister into amdgpu_gem_object_free which causes access to a bad address. The following stack is below when the issue is reproduced when Kazan is enabled: [ +0.000014] Hardware name: ASUS System Product Name/ROG STRIX B550-F GAMING (WI-FI), BIOS 1401 12/03/2020 [ +0.000009] RIP: 0010:mmu_interval_notifier_remove+0x327/0x340 [ +0.000017] Code: ff ff 49 89 44 24 08 48 b8 00 01 00 00 00 00 ad de 4c 89 f7 49 89 47 40 48 83 c0 22 49 89 47 48 e8 ce d1 2d 01 e9 32 ff ff ff <0f> 0b e9 16 ff ff ff 4c 89 ef e8 fa 14 b3 ff e9 36 ff ff ff e8 80 [ +0.000014] RSP: 0018:ffffc90002657988 EFLAGS: 00010246 [ +0.000013] RAX: 0000000000000000 RBX: 1ffff920004caf35 RCX: ffffffff8160565b [ +0.000011] RDX: dffffc0000000000 RSI: 0000000000000004 RDI: ffff8881a9f78260 [ +0.000010] RBP: ffffc90002657a70 R08: 0000000000000001 R09: fffff520004caf25 [ +0.000010] R10: 0000000000000003 R11: ffffffff8161d1d6 R12: ffff88810e988c00 [ +0.000010] R13: ffff888126fb5a00 R14: ffff88810e988c0c R15: ffff8881a9f78260 [ +0.000011] FS: 00007ff9ec848540(0000) GS:ffff8883cc880000(0000) knlGS:0000000000000000 [ +0.000012] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ +0.000010] CR2: 000055b3f7e14328 CR3: 00000001b5770000 CR4: 0000000000350ef0 [ +0.000010] Call Trace: [ +0.000006] <TASK> [ +0.000007] ? show_regs+0x6a/0x80 [ +0.000018] ? __warn+0xa5/0x1b0 [ +0.000019] ? mmu_interval_notifier_remove+0x327/0x340 [ +0.000018] ? report_bug+0x24a/0x290 [ +0.000022] ? handle_bug+0x46/0x90 [ +0.000015] ? exc_invalid_op+0x19/0x50 [ +0.000016] ? asm_exc_invalid_op+0x1b/0x20 [ +0.000017] ? kasan_save_stack+0x26/0x50 [ +0.000017] ? mmu_interval_notifier_remove+0x23b/0x340 [ +0.000019] ? mmu_interval_notifier_remove+0x327/0x340 [ +0.000019] ? mmu_interval_notifier_remove+0x23b/0x340 [ +0.000020] ? __pfx_mmu_interval_notifier_remove+0x10/0x10 [ +0.000017] ? kasan_save_alloc_info+0x1e/0x30 [ +0.000018] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? __kasan_kmalloc+0xb1/0xc0 [ +0.000018] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? __kasan_check_read+0x11/0x20 [ +0.000020] amdgpu_hmm_unregister+0x34/0x50 [amdgpu] [ +0.004695] amdgpu_gem_object_free+0x66/0xa0 [amdgpu] [ +0.004534] ? __pfx_amdgpu_gem_object_free+0x10/0x10 [amdgpu] [ +0.004291] ? do_syscall_64+0x5f/0xe0 [ +0.000023] ? srso_return_thunk+0x5/0x5f [ +0.000017] drm_gem_object_free+0x3b/0x50 [drm] [ +0.000489] amdgpu_gem_userptr_ioctl+0x306/0x500 [amdgpu] [ +0.004295] ? __pfx_amdgpu_gem_userptr_ioctl+0x10/0x10 [amdgpu] [ +0.004270] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? __this_cpu_preempt_check+0x13/0x20 [ +0.000015] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? sysvec_apic_timer_interrupt+0x57/0xc0 [ +0.000020] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? asm_sysvec_apic_timer_interrupt+0x1b/0x20 [ +0.000022] ? drm_ioctl_kernel+0x17b/0x1f0 [drm] [ +0.000496] ? __pfx_amdgpu_gem_userptr_ioctl+0x10/0x10 [amdgpu] [ +0.004272] ? drm_ioctl_kernel+0x190/0x1f0 [drm] [ +0.000492] drm_ioctl_kernel+0x140/0x1f0 [drm] [ +0.000497] ? __pfx_amdgpu_gem_userptr_ioctl+0x10/0x10 [amdgpu] [ +0.004297] ? __pfx_drm_ioctl_kernel+0x10/0x10 [d ---truncated--- Уязвимость функции amdgpu_hmm_register() компонента drivers/gpu/drm/amd/amdgpu/amdgpu_hmm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_mirred: don't override retval if we already lost the skb If we're redirecting the skb, and haven't called tcf_mirred_forward(), yet, we need to tell the core to drop the skb by setting the retcode to SHOT. If we have called tcf_mirred_forward(), however, the skb is out of our hands and returning SHOT will lead to UaF. Move the retval override to the error path which actually need it. Уязвимость функции tcf_mirred_to_dev() модуля net/sched/act_mirred.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: fixed integer types and null check locations [why]: issues fixed: - comparison with wider integer type in loop condition which can cause infinite loops - pointer dereference before null check Уязвимость функции get_firmware_info_v3_2() модуля drivers/gpu/drm/amd/display/dc/bios/bios_parser2.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/vmscan: fix a bug calling wakeup_kswapd() with a wrong zone index With numa balancing on, when a numa system is running where a numa node doesn't have its local memory so it has no managed zones, the following oops has been observed. It's because wakeup_kswapd() is called with a wrong zone index, -1. Fixed it by checking the index before calling wakeup_kswapd(). > BUG: unable to handle page fault for address: 00000000000033f3 > #PF: supervisor read access in kernel mode > #PF: error_code(0x0000) - not-present page > PGD 0 P4D 0 > Oops: 0000 [#1] PREEMPT SMP NOPTI > CPU: 2 PID: 895 Comm: masim Not tainted 6.6.0-dirty #255 > Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS > rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 > RIP: 0010:wakeup_kswapd (./linux/mm/vmscan.c:7812) > Code: (omitted) > RSP: 0000:ffffc90004257d58 EFLAGS: 00010286 > RAX: ffffffffffffffff RBX: ffff88883fff0480 RCX: 0000000000000003 > RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff88883fff0480 > RBP: ffffffffffffffff R08: ff0003ffffffffff R09: ffffffffffffffff > R10: ffff888106c95540 R11: 0000000055555554 R12: 0000000000000003 > R13: 0000000000000000 R14: 0000000000000000 R15: ffff88883fff0940 > FS: 00007fc4b8124740(0000) GS:ffff888827c00000(0000) knlGS:0000000000000000 > CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 > CR2: 00000000000033f3 CR3: 000000026cc08004 CR4: 0000000000770ee0 > DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 > DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 > PKRU: 55555554 > Call Trace: > <TASK> > ? __die > ? page_fault_oops > ? __pte_offset_map_lock > ? exc_page_fault > ? asm_exc_page_fault > ? wakeup_kswapd > migrate_misplaced_page > __handle_mm_fault > handle_mm_fault > do_user_addr_fault > exc_page_fault > asm_exc_page_fault > RIP: 0033:0x55b897ba0808 > Code: (omitted) > RSP: 002b:00007ffeefa821a0 EFLAGS: 00010287 > RAX: 000055b89983acd0 RBX: 00007ffeefa823f8 RCX: 000055b89983acd0 > RDX: 00007fc2f8122010 RSI: 0000000000020000 RDI: 000055b89983acd0 > RBP: 00007ffeefa821a0 R08: 0000000000000037 R09: 0000000000000075 > R10: 0000000000000000 R11: 0000000000000202 R12: 0000000000000000 > R13: 00007ffeefa82410 R14: 000055b897ba5dd8 R15: 00007fc4b8340000 > </TASK> Уязвимость компонента migrate.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: ensure offloading TID queue exists The resume code path assumes that the TX queue for the offloading TID has been configured. At resume time it then tries to sync the write pointer as it may have been updated by the firmware. In the unusual event that no packets have been send on TID 0, the queue will not have been allocated and this causes a crash. Fix this by ensuring the queue exist at suspend time. Уязвимость компонента iwlwifi ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 expat libexpat through 2.6.1 allows an XML Entity Expansion attack when there is isolated use of external parsers (created via XML_ExternalEntityParserCreate). Уязвимость библиотеки синтаксического анализатора XML libexpat связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем передачи специально созданного XML-кода [NistCWE(cwe='CWE-776'), NistCWE(cwe='CWE-776')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Удалить ПО libxmltok, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxml2 - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openvpn OpenVPN from 2.6.0 through 2.6.10 in a server role accepts multiple exit notifications from authenticated clients which will extend the validity of a closing session Уязвимость программного обеспечения OpenVPN связана с отсутствием высвобождения ресурса после окончания срока его действия. Эксплуатация уязвимости может позволить нарушителю «сохранить сеанс», даже если серверу было приказано отключить этого клиента [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=4.3) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 linux-6.1 Exposure of Sensitive Information in Shared Microarchitectural Structures during Transient Execution for some Intel(R) Processors may allow an authenticated user to potentially enable information disclosure via local access. Уязвимость микропрограммного обеспечения процессоров Intel связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 ghostscript Artifex Ghostscript before 10.03.0 has a stack-based buffer overflow in the pdfi_apply_filter() function via a long PDF filter name. Уязвимость функции pdfi_apply_filter() набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в процессе фильтрации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, вызвать отказ в обслуживании или получить полный контроль над приложением [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript Artifex Ghostscript before 10.03.0 sometimes has a stack-based buffer overflow via the CIDFSubstPath and CIDFSubstFont parameters. Уязвимость набора программного обеспечения обработки документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью параметров CIDFSubstPath и CIDFSubstFont [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L', score=5.4) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript Artifex Ghostscript before 10.03.0 has a heap-based pointer disclosure (observable in a constructed BaseFont name) in the function pdf_base_font_alloc. Уязвимость функции pdf_base_font_alloc набора программного обеспечения обработки документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript Artifex Ghostscript before 10.03.0 has a heap-based overflow when PDFPassword (e.g., for runpdf) has a \000 byte in the middle. Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера при обработке параметра PDFPassword. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript Artifex Ghostscript before 10.03.1 allows memory corruption, and SAFER sandbox bypass, via format string injection with a uniprint device. Уязвимость интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить выход из изолированной программной среды [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.3) 1. Запускать ПО ghostscript с флагом -dSAFER. Флаг -dSAFER в Ghostscript активирует режим безопасности, который ограничивает возможности выполняемого PostScript кода. Пример использования ПО Ghostscript с флагом -dSAFER: ``` gs -dSAFER -dBATCH -dNOPAUSE -sDEVICE=pdfwrite -sOutputFile=output.pdf input.ps ``` 2. НЕ использовать устройство вывода типа uniprint. Для этого НЕ запускайте ПО Ghostscript с флагом -sDEVICE и значением uniprint, т.е. -sDEVICE=uniprint Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. Path traversal and command execution can occur (via a crafted PostScript document) because of path reduction in base/gpmisc.c. For example, restrictions on use of %pipe% can be bypassed via the aa/../%pipe%command# output filename. Уязвимость файла base/gpmisc.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. There is path traversal (via a crafted PostScript document) to arbitrary files if the current directory is in the permitted paths. For example, there can be a transformation of ../../foo to ./../../foo and this will grant access if ./ is permitted. Уязвимость интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с ошибками в обработке относительного пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного PostScript-файла [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=6.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. contrib/opvp/gdevopvp.c allows arbitrary code execution via a custom Driver library, exploitable via a crafted PostScript document. This occurs because the Driver parameter for opvp (and oprp) devices can have an arbitrary name for a dynamic library; this library is then loaded. Уязвимость компонента contrib/opvp/gdevopvp.c интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного PostScript-файла [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem before 3.2.6 has a denial of service vulnerability when it parses an XML that has many `<`s in an attribute value. Those who need to parse untrusted XMLs may be impacted to this vulnerability. The REXML gem 3.2.7 or later include the patch to fix this vulnerability. As a workaround, don't parse untrusted XMLs. Уязвимость языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Не анализируйте ненадёжные XML-файлы. Astra Linux 3.8 requests Requests is a HTTP library. Prior to 2.32.0, when making requests through a Requests `Session`, if the first request is made with `verify=False` to disable cert verification, all subsequent requests to the same host will continue to ignore cert verification regardless of changes to the value of `verify`. This behavior will continue for the lifecycle of the connection in the connection pool. This vulnerability is fixed in 2.32.0. Уязвимость компонента adapters.py библиотеки HTTP запросов языка программирования Python Requests связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-670')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N', score=5.6) Для версий requests<2.32.0 не устанавливайте verify=False для первого запроса к хосту при использовании сеанса Requests. Вызовите метод close() для объектов Session, чтобы очистить существующие соединения, если используется параметр verify=False. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: altmodes/displayport: create sysfs nodes as driver's default device attribute group The DisplayPort driver's sysfs nodes may be present to the userspace before typec_altmode_set_drvdata() completes in dp_altmode_probe. This means that a sysfs read can trigger a NULL pointer error by deferencing dp->hpd in hpd_show or dp->lock in pin_assignment_show, as dev_get_drvdata() returns NULL in those cases. Remove manual sysfs node creation in favor of adding attribute group as default for devices bound to the driver. The ATTRIBUTE_GROUPS() macro is not used here otherwise the path to the sysfs nodes is no longer compliant with the ABI. Уязвимость компонента displayport.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 Improper initialization of CPU cache memory could allow a privileged attacker with hypervisor access to overwrite SEV-SNP guest memory resulting in loss of data integrity. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:L/A:N', score=3.2) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 A transient execution vulnerability in some AMD processors may allow an attacker to infer data from previous stores, potentially resulting in the leakage of privileged information. Уязвимость микропрограммного обеспечения процессоров AMD связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 A transient execution vulnerability in some AMD processors may allow an attacker to infer data in the L1D cache, potentially resulting in the leakage of sensitive information across privileged boundaries. Уязвимость микропрограммного обеспечения процессоров AMD связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 zabbix The front-end audit log allows viewing of unprotected plaintext passwords, where the passwords are displayed in plain text. Уязвимость универсальной системы мониторинга Zabbix связана с хранением пароля в незашифрованном виде. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-256'), NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix Within Zabbix, users have the ability to directly modify memory pointers in the JavaScript engine. Уязвимость универсальной системы мониторинга Zabbix связана с разыменованием указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-822')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=9.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix The implementation of atob in "Zabbix JS" allows to create a string with arbitrary content and use it to access internal properties of objects. Уязвимость метода atob универсальной системы мониторинга Zabbix связана с доступом к критичной частной переменной через общедоступный метод.Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-767')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix When exporting media types, the password is exported in the YAML in plain text. This appears to be a best practices type issue and may have no actual impact. The user would need to have permissions to access the media types and therefore would be expected to have access to these passwords. Уязвимость системы мониторинга ИТ-инфраструктуры Zabbix связана с хранением пароля в незашифрованном виде. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к защищаемой информации [NistCWE(cwe='CWE-256')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix A bug in the code allows an attacker to sign a forged zbx_session cookie, which then allows them to sign in with admin permissions. Уязвимость системы мониторинга Zabbix связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix An authenticated user with API access (e.g.: user with default User role), more specifically a user with access to the user.update API endpoint is enough to be able to add themselves to any group (e.g.: Zabbix Administrators), except to groups that are disabled or having restricted GUI access. Уязвимость компонента API системы мониторинга Zabbix связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix The reported vulnerability is a stack buffer overflow in the zbx_snmp_cache_handle_engineid function within the Zabbix server/proxy code. This issue occurs when copying data from session->securityEngineID to local_record.engineid without proper bounds checking. Уязвимость функции zbx_snmp_cache_handle_engineid прокси-сервера системы мониторинга Zabbix связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:N/A:N', score=3.0) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix Execution time for an unsuccessful login differs when using a non-existing username compared to using an existing one. Уязвимость сервера универсальной системы мониторинга Zabbix связана с манипулированием неизвестным входом приводящее к уязвимости несоответствия времени. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-208')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix potential uninit-value access in __ip6_make_skb() As it was done in commit fc1092f51567 ("ipv4: Fix uninit-value access in __ip_make_skb()") for IPv4, check FLOWI_FLAG_KNOWN_NH on fl6->flowi6_flags instead of testing HDRINCL on the socket to avoid a race condition which causes uninit-value access. Уязвимость компонента p6_output.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-iocost: do not WARN if iocg was already offlined In iocg_pay_debt(), warn is triggered if 'active_list' is empty, which is intended to confirm iocg is active when it has debt. However, warn can be triggered during a blkcg or disk removal, if iocg_waitq_timer_fn() is run at that time: WARNING: CPU: 0 PID: 2344971 at block/blk-iocost.c:1402 iocg_pay_debt+0x14c/0x190 Call trace: iocg_pay_debt+0x14c/0x190 iocg_kick_waitq+0x438/0x4c0 iocg_waitq_timer_fn+0xd8/0x130 __run_hrtimer+0x144/0x45c __hrtimer_run_queues+0x16c/0x244 hrtimer_interrupt+0x2cc/0x7b0 The warn in this situation is meaningless. Since this iocg is being removed, the state of the 'active_list' is irrelevant, and 'waitq_timer' is canceled after removing 'active_list' in ioc_pd_free(), which ensures iocg is freed after iocg_waitq_timer_fn() returns. Therefore, add the check if iocg was already offlined to avoid warn when removing a blkcg or disk. Уязвимость функции iocg_pay_debt() модуля block/blk-iocost.c поддержки блочного уровня ядра операционной системы Linux связана с неправильной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: vmbus: Leak pages if set_memory_encrypted() fails In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. VMBus code could free decrypted pages if set_memory_encrypted()/decrypted() fails. Leak the pages if this happens. Уязвимость функций set_memory_encrypted() и set_memory_decrypted() компонента drivers/hv/connection.c ядра операционной системы Linux связана с разглашением конфиденциальной системной информации из-за неочищенной отладочной информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1258')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: Fix uninit-value access in __ip_make_skb() KMSAN reported uninit-value access in __ip_make_skb() [1]. __ip_make_skb() tests HDRINCL to know if the skb has icmphdr. However, HDRINCL can cause a race condition. If calling setsockopt(2) with IP_HDRINCL changes HDRINCL while __ip_make_skb() is running, the function will access icmphdr in the skb even if it is not included. This causes the issue reported by KMSAN. Check FLOWI_FLAG_KNOWN_NH on fl4->flowi4_flags instead of testing HDRINCL on the socket. Also, fl4->fl4_icmp_type and fl4->fl4_icmp_code are not initialized. These are union in struct flowi4 and are implicitly initialized by flowi4_init_output(), but we should not rely on specific union layout. Initialize these explicitly in raw_sendmsg(). [1] BUG: KMSAN: uninit-value in __ip_make_skb+0x2b74/0x2d20 net/ipv4/ip_output.c:1481 __ip_make_skb+0x2b74/0x2d20 net/ipv4/ip_output.c:1481 ip_finish_skb include/net/ip.h:243 [inline] ip_push_pending_frames+0x4c/0x5c0 net/ipv4/ip_output.c:1508 raw_sendmsg+0x2381/0x2690 net/ipv4/raw.c:654 inet_sendmsg+0x27b/0x2a0 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x274/0x3c0 net/socket.c:745 __sys_sendto+0x62c/0x7b0 net/socket.c:2191 __do_sys_sendto net/socket.c:2203 [inline] __se_sys_sendto net/socket.c:2199 [inline] __x64_sys_sendto+0x130/0x200 net/socket.c:2199 do_syscall_64+0xd8/0x1f0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x6d/0x75 Uninit was created at: slab_post_alloc_hook mm/slub.c:3804 [inline] slab_alloc_node mm/slub.c:3845 [inline] kmem_cache_alloc_node+0x5f6/0xc50 mm/slub.c:3888 kmalloc_reserve+0x13c/0x4a0 net/core/skbuff.c:577 __alloc_skb+0x35a/0x7c0 net/core/skbuff.c:668 alloc_skb include/linux/skbuff.h:1318 [inline] __ip_append_data+0x49ab/0x68c0 net/ipv4/ip_output.c:1128 ip_append_data+0x1e7/0x260 net/ipv4/ip_output.c:1365 raw_sendmsg+0x22b1/0x2690 net/ipv4/raw.c:648 inet_sendmsg+0x27b/0x2a0 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x274/0x3c0 net/socket.c:745 __sys_sendto+0x62c/0x7b0 net/socket.c:2191 __do_sys_sendto net/socket.c:2203 [inline] __se_sys_sendto net/socket.c:2199 [inline] __x64_sys_sendto+0x130/0x200 net/socket.c:2199 do_syscall_64+0xd8/0x1f0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x6d/0x75 CPU: 1 PID: 15709 Comm: syz-executor.7 Not tainted 6.8.0-11567-gb3603fcb79b1 #25 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-1.fc39 04/01/2014 Уязвимость компонентов ipv4 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c: et8ek8: Don't strip remove function when driver is builtin Using __exit for the remove function results in the remove callback being discarded with CONFIG_VIDEO_ET8EK8=y. When such a device gets unbound (e.g. using sysfs or hotplug), the driver is just removed without the cleanup being performed. This results in resource leaks. Fix it by compiling in the remove callback unconditionally. This also fixes a W=1 modpost warning: WARNING: modpost: drivers/media/i2c/et8ek8/et8ek8: section mismatch in reference: et8ek8_i2c_driver+0x10 (section: .data) -> et8ek8_remove (section: .exit.text) Уязвимость компонента drivers/media/i2c/et8ek8/et8ek8 ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem before 3.3.1 has some DoS vulnerabilities when it parses an XML that has many specific characters such as `<`, `0` and `%>`. If you need to parse untrusted XMLs, you many be impacted to these vulnerabilities. The REXML gem 3.3.2 or later include the patches to fix these vulnerabilities. Users are advised to upgrade. Users unable to upgrade should avoid parsing untrusted XML strings. Уязвимость набора инструментов XML для Ruby REXML связана с неконтролируемым пот реблением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) Не анализируйте ненадёжные XML-файлы. Astra Linux 3.8 containerd-app containerd is an open-source container runtime. A bug was found in containerd prior to versions 1.6.38, 1.7.27, and 2.0.4 where containers launched with a User set as a `UID:GID` larger than the maximum 32-bit signed integer can cause an overflow condition where the container ultimately runs as root (UID 0). This could cause unexpected behavior for environments that require containers to run as a non-root user. This bug has been fixed in containerd 1.6.38, 1.7.27, and 2.04. As a workaround, ensure that only trusted images are used and that only trusted users have permissions to import images. Уязвимость среды выполнения контейнеров Containerd связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N', score=4.6) - Не использовать недоверенные и ненадежные образы контейнеров; - Обеспечить возможность импорта образов контейнеров только доверенным пользователям ОС; - Активировать режим замкнутой программной среды; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mtk-vcodec: potential null pointer deference in SCP The return value of devm_kzalloc() needs to be checked to avoid NULL pointer deference. This is similar to CVE-2022-3113. Уязвимость функции mtk_vcodec_fw_scp_init() модуля drivers/media/platform/mediatek/vcodec/common/mtk_vcodec_fw_scp.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: don't walk off the end of a directory data block This adds sanity checks for xfs_dir2_data_unused and xfs_dir2_data_entry to make sure don't stray beyond valid memory region. Before patching, the loop simply checks that the start offset of the dup and dep is within the range. So in a crafted image, if last entry is xfs_dir2_data_unused, we can change dup->length to dup->length-1 and leave 1 byte of space. In the next traversal, this space will be considered as dup or dep. We may encounter an out of bound read when accessing the fixed members. In the patch, we make sure that the remaining bytes large enough to hold an unused entry before accessing xfs_dir2_data_unused and xfs_dir2_data_unused is XFS_DIR2_DATA_ALIGN byte aligned. We also make sure that the remaining bytes large enough to hold a dirent with a single-byte name before accessing xfs_dir2_data_entry. Уязвимость компонентов libxfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным с помощью специально созданного файла изображения [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: leds: mlxreg: Use devm_mutex_init() for mutex initialization In this driver LEDs are registered using devm_led_classdev_register() so they are automatically unregistered after module's remove() is done. led_classdev_unregister() calls module's led_set_brightness() to turn off the LEDs and that callback uses mutex which was destroyed already in module's remove() so use devm API instead. Уязвимость компонента mlxreg ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 zabbix Zabbix API user.get returns all users that share common group with the calling user. This includes media and other information, such as login attempts, etc. Уязвимость компонента API универсальной системы мониторинга Zabbix связана с неправильной авторизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-359')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix There was discovered a use after free bug in browser.c in the es_browser_get_variant function Уязвимость функции es_browser_get_variant компонента browser.c универсальной системы мониторинга Zabbix связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L', score=4.4) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is available for every user who has API access. Уязвимость системы мониторинга Zabbix связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=9.9) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix When the webdriver for the Browser object downloads data from a HTTP server, the data pointer is set to NULL and is allocated only in curl_write_cb when receiving data. If the server's response is an empty document, then wd->data in the code below will remain NULL and an attempt to read from it will result in a crash. Уязвимость функции curl_write_cb() универсальной системы мониторинга Zabbix связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании (DoS) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix The webdriver for the Browser object expects an error object to be initialized when the webdriver_session_query function fails. But this function can fail for various reasons without an error description and then the wd->error will be NULL and trying to read from it will result in a crash. Уязвимость функции webdriver_session_query системы мониторинга Zabbix связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix The HttpRequest object allows to get the HTTP headers from the server's response after sending the request. The problem is that the returned strings are created directly from the data returned by the server and are not correctly encoded for JavaScript. This allows to create internal strings that can be used to access hidden properties of objects. Уязвимость сервера универсальной системы мониторинга Zabbix связана с использованием неконтролируемых форматных строк при обработке объектов HttpRequest. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-134')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=9.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix In the src/libs/zbxembed/browser.c file, the es_browser_ctor method retrieves a heap pointer from the Duktape JavaScript engine. This heap pointer is subsequently utilized by the browser_push_error method in the src/libs/zbxembed/browser_error.c file. A use-after-free bug can occur at this stage if the wd->browser heap pointer is freed by garbage collection. Уязвимость метода es_browser_ctor компонента src/libs/zbxembed/browser.c универсальной системы мониторинга Zabbix связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix The researcher is showing that due to the way the SNMP trap log is parsed, an attacker can craft an SNMP trap with additional lines of information and have forged data show in the Zabbix UI. This attack requires SNMP auth to be off and/or the attacker to know the community/auth details. The attack requires an SNMP item to be configured as text on the target host. Уязвимость универсальной системы мониторинга Zabbix связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix The researcher is showing that it is possible to leak a small amount of Zabbix Server memory using an out of bounds read in src/libs/zbxmedia/email.c Уязвимость функции str_base64_encode_rfc2047() компонента src/libs/zbxmedia/email.c системы мониторинга Zabbix связана с чтением за границами буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-126')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 apache2 HTTP response splitting in the core of Apache HTTP Server allows an attacker who can manipulate the Content-Type response headers of applications hosted or proxied by the server can split the HTTP response. This vulnerability was described as CVE-2023-38709 but the patch included in Apache HTTP Server 2.4.59 did not address the issue. Users are recommended to upgrade to version 2.4.64, which fixes this issue. Уязвимость ядра веб-сервера Apache HTTP Server связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Отключить или ограничить использование пользовательских заголовков Content-Type в конфигурации Apache - Использовать ModSecurity для фильтрации вредоносных символов (\r\n) в заголовках - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Использовать VPN для подключение доверенных пользователей к ПО apache2 Astra Linux 3.8 apache2 SSRF in Apache HTTP Server with mod_proxy loaded allows an attacker to send outbound proxy requests to a URL controlled by the attacker.  Requires an unlikely configuration where mod_headers is configured to modify the Content-Type request or response header with a value provided in the HTTP request. Users are recommended to upgrade to version 2.4.64 which fixes this issue. Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить SSRF-атаку [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Уязвимость возможно реализовать, если использует `mod_proxy` и `mod_headers`, где `mod_headers` настроен на модификацию заголовка Content-Type в запросе или ответе с использованием пользовательских данных. Проверьте файлы конфигурации (например, /etc/apache2/apache2.conf) на наличие строк, содержащих `set Content-Type "%{USER_INPUT}e`, и удалите их или замените на статическое значение - Отключить mod_proxy или mod_headers, если они не используются: `sudo a2dismod proxy headers` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности `mod_security` и `mod_evasive` - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache Astra Linux 3.8 vim Vim is an improved version of the unix vi text editor. When flushing the typeahead buffer, Vim moves the current position in the typeahead buffer but does not check whether there is enough space left in the buffer to handle the next characters. So this may lead to the tb_off position within the typebuf variable to point outside of the valid buffer size, which can then later lead to a heap-buffer overflow in e.g. ins_typebuf(). Therefore, when flushing the typeahead buffer, check if there is enough space left before advancing the off position. If not, fall back to flush current typebuf contents. It's not quite clear yet, what can lead to this situation. It seems to happen when error messages occur (which will cause Vim to flush the typeahead buffer) in comnination with several long mappgins and so it may eventually move the off position out of a valid buffer size. Impact is low since it is not easily reproducible and requires to have several mappings active and run into some error condition. But when this happens, this will cause a crash. The issue has been fixed as of Vim patch v9.1.0697. Users are advised to upgrade. There are no known workarounds for this issue. Уязвимость функции ins_typebuf() текстового редактора Vim связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=4.5) - при использовании ПО vim выполнять обработку файлов, полученных только из доверенных источников; - не рекомендуется запускать ненадежные файлы в режиме скрипта, т.е. используя опцию -s [scriptin]; - использовать ПО vim только на низком или отдельно выделенном уровне целостности; - отказаться от использования ПО vim в пользу ПО nano. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Handle invalid decoder vsi Handle an invalid decoder vsi in vpu_dec_init to ensure the decoder vsi is valid for future use. Уязвимость компонента mediatek ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, arm64: Fix trampoline for BPF_TRAMP_F_CALL_ORIG When BPF_TRAMP_F_CALL_ORIG is set, the trampoline calls __bpf_tramp_enter() and __bpf_tramp_exit() functions, passing them the struct bpf_tramp_image *im pointer as an argument in R0. The trampoline generation code uses emit_addr_mov_i64() to emit instructions for moving the bpf_tramp_image address into R0, but emit_addr_mov_i64() assumes the address to be in the vmalloc() space and uses only 48 bits. Because bpf_tramp_image is allocated using kzalloc(), its address can use more than 48-bits, in this case the trampoline will pass an invalid address to __bpf_tramp_enter/exit() causing a kernel crash. Fix this by using emit_a64_mov_i64() in place of emit_addr_mov_i64() as it can work with addresses that are greater than 48-bits. Уязвимость функции prepare_trampoline() модуля arch/arm64/net/bpf_jit_comp.c ядра операционной системы Linux связана с некорректным расчетом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 puma Puma is a Ruby/Rack web server built for parallelism. In affected versions clients could clobber values set by intermediate proxies (such as X-Forwarded-For) by providing a underscore version of the same header (X-Forwarded_For). Any users relying on proxy set variables is affected. v6.4.3/v5.6.9 now discards any headers using underscores if the non-underscore version also exists. Effectively, allowing the proxy defined headers to always win. Users are advised to upgrade. Nginx has a underscores_in_headers configuration variable to discard these headers at the proxy level as a mitigation. Any users that are implicitly trusting the proxy defined headers for security should immediately cease doing so until upgraded to the fixed versions. Уязвимость HTTP-сервера для Ruby/Rack приложений Puma связана с неправильной обработкой HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-639'), NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N', score=5.4) Astra Linux 3.8 zabbix The endpoint /zabbix.php?action=export.valuemaps suffers from a Cross-Site Scripting vulnerability via the backurl parameter. This is caused by the reflection of user-supplied data without appropriate HTML escaping or output encoding. As a result, a JavaScript payload may be injected into the above endpoint causing it to be executed within the context of the victim's browser. Уязвимость веб-интейрфеса универсальной системы мониторинга Zabbix связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга путем обработки параметра backurl [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N', score=5.4) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix Zabbix server is vulnerable to a DoS vulnerability due to uncontrolled resource exhaustion. An attacker can send specially crafted requests to the server, which will cause the server to allocate an excessive amount of memory and perform CPU-intensive decompression operations, ultimately leading to a service crash. Уязвимость сервера универсальной системы мониторинга Zabbix связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 grub2 A flaw was found in the HFS filesystem. When reading an HFS volume's name at grub_fs_mount(), the HFS filesystem driver performs a strcpy() using the user-provided volume name as input without properly validating the volume name's length. This issue may read to a heap-based out-of-bounds writer, impacting grub's sensitive data integrity and eventually leading to a secure boot protection bypass. Уязвимость файла fs/hfs.c компонента hfs загрузчика операционных систем Grub2 связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код в контексте текущего пользователя с помощью специально созданного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix qgroup reserve leaks in cow_file_range In the buffered write path, the dirty page owns the qgroup reserve until it creates an ordered_extent. Therefore, any errors that occur before the ordered_extent is created must free that reservation, or else the space is leaked. The fstest generic/475 exercises various IO error paths, and is able to trigger errors in cow_file_range where we fail to get to allocating the ordered extent. Note that because we *do* clear delalloc, we are likely to remove the inode from the delalloc list, so the inodes/pages to not have invalidate/launder called on them in the commit abort path. This results in failures at the unmount stage of the test that look like: BTRFS: error (device dm-8 state EA) in cleanup_transaction:2018: errno=-5 IO failure BTRFS: error (device dm-8 state EA) in btrfs_replace_file_extents:2416: errno=-5 IO failure BTRFS warning (device dm-8 state EA): qgroup 0/5 has unreleased space, type 0 rsv 28672 ------------[ cut here ]------------ WARNING: CPU: 3 PID: 22588 at fs/btrfs/disk-io.c:4333 close_ctree+0x222/0x4d0 [btrfs] Modules linked in: btrfs blake2b_generic libcrc32c xor zstd_compress raid6_pq CPU: 3 PID: 22588 Comm: umount Kdump: loaded Tainted: G W 6.10.0-rc7-gab56fde445b8 #21 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 RIP: 0010:close_ctree+0x222/0x4d0 [btrfs] RSP: 0018:ffffb4465283be00 EFLAGS: 00010202 RAX: 0000000000000001 RBX: ffffa1a1818e1000 RCX: 0000000000000001 RDX: 0000000000000000 RSI: ffffb4465283bbe0 RDI: ffffa1a19374fcb8 RBP: ffffa1a1818e13c0 R08: 0000000100028b16 R09: 0000000000000000 R10: 0000000000000003 R11: 0000000000000003 R12: ffffa1a18ad7972c R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f9168312b80(0000) GS:ffffa1a4afcc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f91683c9140 CR3: 000000010acaa000 CR4: 00000000000006f0 Call Trace: <TASK> ? close_ctree+0x222/0x4d0 [btrfs] ? __warn.cold+0x8e/0xea ? close_ctree+0x222/0x4d0 [btrfs] ? report_bug+0xff/0x140 ? handle_bug+0x3b/0x70 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? close_ctree+0x222/0x4d0 [btrfs] generic_shutdown_super+0x70/0x160 kill_anon_super+0x11/0x40 btrfs_kill_super+0x11/0x20 [btrfs] deactivate_locked_super+0x2e/0xa0 cleanup_mnt+0xb5/0x150 task_work_run+0x57/0x80 syscall_exit_to_user_mode+0x121/0x130 do_syscall_64+0xab/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f916847a887 ---[ end trace 0000000000000000 ]--- BTRFS error (device dm-8 state EA): qgroup reserved space leaked Cases 2 and 3 in the out_reserve path both pertain to this type of leak and must free the reserved qgroup data. Because it is already an error path, I opted not to handle the possible errors in btrfs_free_qgroup_data. Уязвимость компонента btrfs ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix potential null-ptr-deref of lease_ctx_info in smb2_open() null-ptr-deref will occur when (req_op_level == SMB2_OPLOCK_LEVEL_LEASE) and parse_lease_state() return NULL. Fix this by check if 'lease_ctx_info' is NULL. Additionally, remove the redundant parentheses in parse_durable_handle_context(). Уязвимость функции create_lease_buf() подсистемы SMB ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: don't BUG_ON() when 0 reference count at btrfs_lookup_extent_info() Instead of doing a BUG_ON() handle the error by returning -EUCLEAN, aborting the transaction and logging an error message. Уязвимость функции btrfs_lookup_extent_info() файловой системы btrfs ядра операционной системы Linux связана с несанкционированным вызовом утверждения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: handle errors from btrfs_dec_ref() properly In walk_up_proc() we BUG_ON(ret) from btrfs_dec_ref(). This is incorrect, we have proper error handling here, return the error. Уязвимость функции btrfs_dec_ref() ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check denominator crb_pipes before used [WHAT & HOW] A denominator cannot be 0, and is checked before used. This fixes 2 DIVIDE_BY_ZERO issues reported by Coverity. Уязвимость функции dcn315_populate_dml_pipes_from_context() драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с недостаточной проверкой входных данных при делении на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/rtas: Prevent Spectre v1 gadget construction in sys_rtas() Smatch warns: arch/powerpc/kernel/rtas.c:1932 __do_sys_rtas() warn: potential spectre issue 'args.args' [r] (local cap) The 'nargs' and 'nret' locals come directly from a user-supplied buffer and are used as indexes into a small stack-based array and as inputs to copy_to_user() after they are subject to bounds checks. Use array_index_nospec() after the bounds checks to clamp these values for speculative execution. Уязвимость функции __do_sys_rtas() модуля arch/powerpc/kernel/rtas.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Stop amdgpu_dm initialize when link nums greater than max_links [Why] Coverity report OVERRUN warning. There are only max_links elements within dc->links. link count could up to AMDGPU_DM_MAX_DISPLAY_INDEX 31. [How] Make sure link count less than max_links. Уязвимость функции amdgpu_dm_initialize_drm_device() драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 ghostscript An issue was discovered in psi/zcolor.c in Artifex Ghostscript before 10.04.0. An unchecked Implementation pointer in Pattern color space could lead to arbitrary code execution. Уязвимость компонента psi/zcolor.c набора программного обеспечения обработки документов Ghostscript связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in pdf/pdf_xref.c in Artifex Ghostscript before 10.04.0. There is a buffer overflow during handling of a PDF XRef stream (related to W array values). Уязвимость компонента pdf/pdf_xref.c набора программного обеспечения обработки документов Ghostscript связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in base/gsdevice.c in Artifex Ghostscript before 10.04.0. An integer overflow when parsing the filename format string (for the output filename) results in path truncation, and possible path traversal and code execution. Уязвимость компонента base/gsdevice.c набора программного обеспечения обработки документов Ghostscript связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in psi/zcolor.c in Artifex Ghostscript before 10.04.0. There is an out-of-bounds read when reading color in Indexed color space. Уязвимость набора программного обеспечения обработки документов Ghostscript связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in psi/zfile.c in Artifex Ghostscript before 10.04.0. Out-of-bounds data access in filenameforall can lead to arbitrary code execution. Уязвимость компонента psi/zfile.c набора программного обеспечения обработки документов Ghostscript связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 apache2 Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations. In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variables provided by mod_ssl such as SSL_TLS_SNI, no escaping is performed by either mod_log_config or mod_ssl and unsanitized data provided by the client may appear in log files. Уязвимость функции mod_ssl веб-сервера Apache HTTP Server связана с неприятием мер по нейтрализации специальных управляющих элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-150')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) - Уязвимость возможно реализовать, если используется конфигурация CustomLog с переменными %{varname}x или %{varname}c. Чтобы изменить конфигурацию Apache: - замените `%{varname}x` на `%{varname}e` (переменные окружения экранируются по умолчанию) - используйте `mod_security` для фильтрации управляющих символов - Если `SSL_TLS_SNI` не используется, удалить соответствующие директивы `CustomLog` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности `mod_security` и `mod_evasive` - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache Astra Linux 3.8 syslog-ng syslog-ng is an enhanced log daemo. Prior to version 4.8.2, `tls_wildcard_match()` matches on certificates such as `foo.*.bar` although that is not allowed. It is also possible to pass partial wildcards such as `foo.a*c.bar` which glib matches but should be avoided / invalidated. This issue could have an impact on TLS connections, such as in man-in-the-middle situations. Version 4.8.2 contains a fix for the issue. Уязвимость утилиты для обработки логов Syslog-ng связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Настройте права доступа к конфигурационным файлам syslog-ng так, чтобы их могли изменять только администраторы системы - Используйте шифрование для передачи логов по сети - Настройте аутентификацию и авторизацию для доступа к логам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: pm80xx: Set phy->enable_completion only when we wait for it pm8001_phy_control() populates the enable_completion pointer with a stack address, sends a PHY_LINK_RESET / PHY_HARD_RESET, waits 300 ms, and returns. The problem arises when a phy control response comes late. After 300 ms the pm8001_phy_control() function returns and the passed enable_completion stack address is no longer valid. Late phy control response invokes complete() on a dangling enable_completion pointer which leads to a kernel crash. Уязвимость функции pm8001_phy_control() драйвера SCSI ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check link_res->hpo_dp_link_enc before using it [WHAT & HOW] Functions dp_enable_link_phy and dp_disable_link_phy can pass link_res without initializing hpo_dp_link_enc and it is necessary to check for null before dereferencing. This fixes 2 FORWARD_NULL issues reported by Coverity. Уязвимость функции disable_hpo_dp_link_output() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Fix VP8 stateless decoder smatch warning Fix a smatch static checker warning on vdec_vp8_req_if.c. Which leads to a kernel crash when fb is NULL. Уязвимость компонента vcodec ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Fix H264 multi stateless decoder smatch warning Fix a smatch static checker warning on vdec_h264_req_multi_if.c. Which leads to a kernel crash when fb is NULL. Уязвимость компонента vcodec ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 vim Vim is an open source, command line text editor. A use-after-free was found in Vim < 9.1.0764. When closing a buffer (visible in a window) a BufWinLeave auto command can cause an use-after-free if this auto command happens to re-open the same buffer in a new split window. Impact is low since the user must have intentionally set up such a strange auto command and run some buffer unload commands. However this may lead to a crash. This issue has been addressed in version 9.1.0764 and all users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость функции BufWinLeave текстового редактора vim связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные автокоманды [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L', score=3.9) - при использовании ПО vim выполнять обработку файлов, полученных только из доверенных источников; - не рекомендуется запускать ненадежные файлы в режиме скрипта, т.е. используя опцию -s [scriptin]; - использовать ПО vim только на низком или отдельно выделенном уровне целостности; - отказаться от использования ПО vim в пользу ПО nano. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: uvc: Fix ERR_PTR dereference in uvc_v4l2.c Fix potential dereferencing of ERR_PTR() in find_format_by_pix() and uvc_v4l2_enum_format(). Fix the following smatch errors: drivers/usb/gadget/function/uvc_v4l2.c:124 find_format_by_pix() error: 'fmtdesc' dereferencing possible ERR_PTR() drivers/usb/gadget/function/uvc_v4l2.c:392 uvc_v4l2_enum_format() error: 'fmtdesc' dereferencing possible ERR_PTR() Also, fix similar issue in uvc_v4l2_try_format() for potential dereferencing of ERR_PTR(). Уязвимость функции find_format_by_pix() компонента drivers/usb/gadget/function/uvc_v4l2.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Prevent tail call between progs attached to different hooks bpf progs can be attached to kernel functions, and the attached functions can take different parameters or return different return values. If prog attached to one kernel function tail calls prog attached to another kernel function, the ctx access or return value verification could be bypassed. For example, if prog1 is attached to func1 which takes only 1 parameter and prog2 is attached to func2 which takes two parameters. Since verifier assumes the bpf ctx passed to prog2 is constructed based on func2's prototype, verifier allows prog2 to access the second parameter from the bpf ctx passed to it. The problem is that verifier does not prevent prog1 from passing its bpf ctx to prog2 via tail call. In this case, the bpf ctx passed to prog2 is constructed from func1 instead of func2, that is, the assumption for ctx access verification is bypassed. Another example, if BPF LSM prog1 is attached to hook file_alloc_security, and BPF LSM prog2 is attached to hook bpf_lsm_audit_rule_known. Verifier knows the return value rules for these two hooks, e.g. it is legal for bpf_lsm_audit_rule_known to return positive number 1, and it is illegal for file_alloc_security to return positive number. So verifier allows prog2 to return positive number 1, but does not allow prog1 to return positive number. The problem is that verifier does not prevent prog1 from calling prog2 via tail call. In this case, prog2's return value 1 will be used as the return value for prog1's hook file_alloc_security. That is, the return value rule is bypassed. This patch adds restriction for tail call to prevent such bypasses. Уязвимость компонента include/linux/bpf.h ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 expat An issue was discovered in libexpat before 2.6.4. There is a crash within the XML_ResumeParser function because XML_StopParser can stop/suspend an unstarted parser. Уязвимость функции XML_ResumeParser библиотеки для анализа XML-файлов libexpat связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) Для нейтрализации угрозы эксплуатации уязвимости для ПО Thunderbird необходимо выполнить одно из следующих требований: - удалить ПО Thunderbird, если оно не используется; - отказаться от использования ПО Thunderbird в пользу ПО Evolution; - обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail. Для нейтрализации угрозы эксплуатации уязвимости для ПО expat необходимо выполнить одно из следующих требований: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: fix potential array underflow in ucsi_ccg_sync_control() The "command" variable can be controlled by the user via debugfs. The worry is that if con_index is zero then "&uc->ucsi->connector[con_index - 1]" would be an array underflow. Уязвимость компонента drivers/usb/typec/ucsi/ucsi_ccg.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix receive ring space parameters when XDP is active The MTU setting at the time an XDP multi-buffer is attached determines whether the aggregation ring will be used and the rx_skb_func handler. This is done in bnxt_set_rx_skb_mode(). If the MTU is later changed, the aggregation ring setting may need to be changed and it may become out-of-sync with the settings initially done in bnxt_set_rx_skb_mode(). This may result in random memory corruption and crashes as the HW may DMA data larger than the allocated buffer size, such as: BUG: kernel NULL pointer dereference, address: 00000000000003c0 PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 17 PID: 0 Comm: swapper/17 Kdump: loaded Tainted: G S OE 6.1.0-226bf9805506 #1 Hardware name: Wiwynn Delta Lake PVT BZA.02601.0150/Delta Lake-Class1, BIOS F0E_3A12 08/26/2021 RIP: 0010:bnxt_rx_pkt+0xe97/0x1ae0 [bnxt_en] Code: 8b 95 70 ff ff ff 4c 8b 9d 48 ff ff ff 66 41 89 87 b4 00 00 00 e9 0b f7 ff ff 0f b7 43 0a 49 8b 95 a8 04 00 00 25 ff 0f 00 00 <0f> b7 14 42 48 c1 e2 06 49 03 95 a0 04 00 00 0f b6 42 33f RSP: 0018:ffffa19f40cc0d18 EFLAGS: 00010202 RAX: 00000000000001e0 RBX: ffff8e2c805c6100 RCX: 00000000000007ff RDX: 0000000000000000 RSI: ffff8e2c271ab990 RDI: ffff8e2c84f12380 RBP: ffffa19f40cc0e48 R08: 000000000001000d R09: 974ea2fcddfa4cbf R10: 0000000000000000 R11: ffffa19f40cc0ff8 R12: ffff8e2c94b58980 R13: ffff8e2c952d6600 R14: 0000000000000016 R15: ffff8e2c271ab990 FS: 0000000000000000(0000) GS:ffff8e3b3f840000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000000003c0 CR3: 0000000e8580a004 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> __bnxt_poll_work+0x1c2/0x3e0 [bnxt_en] To address the issue, we now call bnxt_set_rx_skb_mode() within bnxt_change_mtu() to properly set the AGG rings configuration and update rx_skb_func based on the new MTU value. Additionally, BNXT_FLAG_NO_AGG_RINGS is cleared at the beginning of bnxt_set_rx_skb_mode() to make sure it gets set or cleared based on the current MTU. Уязвимость функции bnxt_set_rx_skb_mode() компонента bnxt_en ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 libxslt xsltGetInheritedNsList in libxslt before 1.1.43 has a use-after-free issue related to exclusion of result prefixes. Уязвимость функции xsltGetInheritedNsList библиотеки libxslt связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать влияние на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H', score=7.8) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 3.8 libxml2 libxml2 before 2.12.10 and 2.13.x before 2.13.6 has a use-after-free in xmlSchemaIDCFillNodeTables and xmlSchemaBubbleIDCNodeTables in xmlschemas.c. To exploit this, a crafted XML document must be validated against an XML schema with certain identity constraints, or a crafted XML schema must be used. Уязвимость компонента xmlschemas.c библиотеки Libxml2 связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) - Не выполнять XSD-валидацию для недоверенного XML или не принимать внешние схемы от клиентов до внедрения исправлений Astra Linux 3.8 poppler libpoppler.so in Poppler through 24.12.0 has an out-of-bounds read vulnerability within the JBIG2Bitmap::combine function in JBIG2Stream.cc. Уязвимость функции JBIG2Bitmap::combine компонента JBIG2Stream.cc библиотеки для отображения PDF-файлов Poppler связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=4.3) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 perl A heap buffer overflow vulnerability was discovered in Perl. Release branches 5.34, 5.36, 5.38 and 5.40 are affected, including development versions from 5.33.1 through 5.41.10. When there are non-ASCII bytes in the left-hand-side of the `tr` operator, `S_do_trans_invmap` can overflow the destination pointer `d`.    $ perl -e '$_ = "\x{FF}" x 1000000; tr/\xFF/\x{100}/;'    Segmentation fault (core dumped) It is believed that this vulnerability can enable Denial of Service and possibly Code Execution attacks on platforms that lack sufficient defenses. Уязвимость языка программирования Perl связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: use ieee80211_purge_tx_queue() to purge TX skb When removing kernel modules by: rmmod rtw88_8723cs rtw88_8703b rtw88_8723x rtw88_sdio rtw88_core Driver uses skb_queue_purge() to purge TX skb, but not report tx status causing "Have pending ack frames!" warning. Use ieee80211_purge_tx_queue() to correct this. Since ieee80211_purge_tx_queue() doesn't take locks, to prevent racing between TX work and purge TX queue, flush and destroy TX work in advance. wlan0: deauthenticating from aa:f5:fd:60:4c:a8 by local choice (Reason: 3=DEAUTH_LEAVING) ------------[ cut here ]------------ Have pending ack frames! WARNING: CPU: 3 PID: 9232 at net/mac80211/main.c:1691 ieee80211_free_ack_frame+0x5c/0x90 [mac80211] CPU: 3 PID: 9232 Comm: rmmod Tainted: G C 6.10.1-200.fc40.aarch64 #1 Hardware name: pine64 Pine64 PinePhone Braveheart (1.1)/Pine64 PinePhone Braveheart (1.1), BIOS 2024.01 01/01/2024 pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : ieee80211_free_ack_frame+0x5c/0x90 [mac80211] lr : ieee80211_free_ack_frame+0x5c/0x90 [mac80211] sp : ffff80008c1b37b0 x29: ffff80008c1b37b0 x28: ffff000003be8000 x27: 0000000000000000 x26: 0000000000000000 x25: ffff000003dc14b8 x24: ffff80008c1b37d0 x23: ffff000000ff9f80 x22: 0000000000000000 x21: 000000007fffffff x20: ffff80007c7e93d8 x19: ffff00006e66f400 x18: 0000000000000000 x17: ffff7ffffd2b3000 x16: ffff800083fc0000 x15: 0000000000000000 x14: 0000000000000000 x13: 2173656d61726620 x12: 6b636120676e6964 x11: 0000000000000000 x10: 000000000000005d x9 : ffff8000802af2b0 x8 : ffff80008c1b3430 x7 : 0000000000000001 x6 : 0000000000000001 x5 : 0000000000000000 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff000003be8000 Call trace: ieee80211_free_ack_frame+0x5c/0x90 [mac80211] idr_for_each+0x74/0x110 ieee80211_free_hw+0x44/0xe8 [mac80211] rtw_sdio_remove+0x9c/0xc0 [rtw88_sdio] sdio_bus_remove+0x44/0x180 device_remove+0x54/0x90 device_release_driver_internal+0x1d4/0x238 driver_detach+0x54/0xc0 bus_remove_driver+0x78/0x108 driver_unregister+0x38/0x78 sdio_unregister_driver+0x2c/0x40 rtw_8723cs_driver_exit+0x18/0x1000 [rtw88_8723cs] __do_sys_delete_module.isra.0+0x190/0x338 __arm64_sys_delete_module+0x1c/0x30 invoke_syscall+0x74/0x100 el0_svc_common.constprop.0+0x48/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x3c/0x158 el0t_64_sync_handler+0x120/0x138 el0t_64_sync+0x194/0x198 ---[ end trace 0000000000000000 ]--- Уязвимость ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 grub2 GNU GRUB (aka GRUB2) through 2.12 has a heap-based buffer overflow in fs/hfs.c via crafted sblock data in an HFS filesystem. Уязвимость компонента fs/hfs.c конфигурационного файла Grub связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: check folio mapping after unlock in relocate_one_folio() When we call btrfs_read_folio() to bring a folio uptodate, we unlock the folio. The result of that is that a different thread can modify the mapping (like remove it with invalidate) before we call folio_lock(). This results in an invalid page and we need to try again. In particular, if we are relocating concurrently with aborting a transaction, this can result in a crash like the following: BUG: kernel NULL pointer dereference, address: 0000000000000000 PGD 0 P4D 0 Oops: 0000 [#1] SMP CPU: 76 PID: 1411631 Comm: kworker/u322:5 Workqueue: events_unbound btrfs_reclaim_bgs_work RIP: 0010:set_page_extent_mapped+0x20/0xb0 RSP: 0018:ffffc900516a7be8 EFLAGS: 00010246 RAX: ffffea009e851d08 RBX: ffffea009e0b1880 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffffc900516a7b90 RDI: ffffea009e0b1880 RBP: 0000000003573000 R08: 0000000000000001 R09: ffff88c07fd2f3f0 R10: 0000000000000000 R11: 0000194754b575be R12: 0000000003572000 R13: 0000000003572fff R14: 0000000000100cca R15: 0000000005582fff FS: 0000000000000000(0000) GS:ffff88c07fd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 000000407d00f002 CR4: 00000000007706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die+0x78/0xc0 ? page_fault_oops+0x2a8/0x3a0 ? __switch_to+0x133/0x530 ? wq_worker_running+0xa/0x40 ? exc_page_fault+0x63/0x130 ? asm_exc_page_fault+0x22/0x30 ? set_page_extent_mapped+0x20/0xb0 relocate_file_extent_cluster+0x1a7/0x940 relocate_data_extent+0xaf/0x120 relocate_block_group+0x20f/0x480 btrfs_relocate_block_group+0x152/0x320 btrfs_relocate_chunk+0x3d/0x120 btrfs_reclaim_bgs_work+0x2ae/0x4e0 process_scheduled_works+0x184/0x370 worker_thread+0xc6/0x3e0 ? blk_add_timer+0xb0/0xb0 kthread+0xae/0xe0 ? flush_tlb_kernel_range+0x90/0x90 ret_from_fork+0x2f/0x40 ? flush_tlb_kernel_range+0x90/0x90 ret_from_fork_asm+0x11/0x20 </TASK> This occurs because cleanup_one_transaction() calls destroy_delalloc_inodes() which calls invalidate_inode_pages2() which takes the folio_lock before setting mapping to NULL. We fail to check this, and subsequently call set_extent_mapping(), which assumes that mapping != NULL (in fact it asserts that in debug mode) Note that the "fixes" patch here is not the one that introduced the race (the very first iteration of this code from 2009) but a more recent change that made this particular crash happen in practice. Уязвимость компонента relocation.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 openjpeg2 A flaw was found in the OpenJPEG project. A heap buffer overflow condition may be triggered when certain options are specified while using the opj_decompress utility. This can lead to an application crash or other undefined behavior. Уязвимость библиотеки для кодирования и декодирования изображений OpenJPEG связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:H', score=5.6) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 3.8 openjpeg2 A flaw was found in the OpenJPEG project. A heap buffer overflow condition may be triggered when certain options are specified while using the opj_decompress utility. This can lead to an application crash or other undefined behavior. Уязвимость библиотеки для кодирования и декодирования изображений OpenJPEG связана с переполнением буфера в динамической памяти в функции opj_j2k_add_tlmarker() в src/lib/openjp2/j2k.c. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:H', score=5.6) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: hugetlb: independent PMD page table shared count The folio refcount may be increased unexpectly through try_get_folio() by caller such as split_huge_pages. In huge_pmd_unshare(), we use refcount to check whether a pmd page table is shared. The check is incorrect if the refcount is increased by the above caller, and this can cause the page table leaked: BUG: Bad page state in process sh pfn:109324 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x66 pfn:0x109324 flags: 0x17ffff800000000(node=0|zone=2|lastcpupid=0xfffff) page_type: f2(table) raw: 017ffff800000000 0000000000000000 0000000000000000 0000000000000000 raw: 0000000000000066 0000000000000000 00000000f2000000 0000000000000000 page dumped because: nonzero mapcount ... CPU: 31 UID: 0 PID: 7515 Comm: sh Kdump: loaded Tainted: G B 6.13.0-rc2master+ #7 Tainted: [B]=BAD_PAGE Hardware name: QEMU KVM Virtual Machine, BIOS 0.0.0 02/06/2015 Call trace: show_stack+0x20/0x38 (C) dump_stack_lvl+0x80/0xf8 dump_stack+0x18/0x28 bad_page+0x8c/0x130 free_page_is_bad_report+0xa4/0xb0 free_unref_page+0x3cc/0x620 __folio_put+0xf4/0x158 split_huge_pages_all+0x1e0/0x3e8 split_huge_pages_write+0x25c/0x2d8 full_proxy_write+0x64/0xd8 vfs_write+0xcc/0x280 ksys_write+0x70/0x110 __arm64_sys_write+0x24/0x38 invoke_syscall+0x50/0x120 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x34/0x128 el0t_64_sync_handler+0xc8/0xd0 el0t_64_sync+0x190/0x198 The issue may be triggered by damon, offline_page, page_idle, etc, which will increase the refcount of page table. 1. The page table itself will be discarded after reporting the "nonzero mapcount". 2. The HugeTLB page mapped by the page table miss freeing since we treat the page table as shared and a shared page table will not be unmapped. Fix it by introducing independent PMD page table shared count. As described by comment, pt_index/pt_mm/pt_frag_refcount are used for s390 gmap, x86 pgds and powerpc, pt_share_count is used for x86/arm64/riscv pmds, so we can reuse the field as pt_share_count. Уязвимость компонента hugetlb.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: relax assertions on failure to encode file handles Encoding file handles is usually performed by a filesystem >encode_fh() method that may fail for various reasons. The legacy users of exportfs_encode_fh(), namely, nfsd and name_to_handle_at(2) syscall are ready to cope with the possibility of failure to encode a file handle. There are a few other users of exportfs_encode_{fh,fid}() that currently have a WARN_ON() assertion when ->encode_fh() fails. Relax those assertions because they are wrong. The second linked bug report states commit 16aac5ad1fa9 ("ovl: support encoding non-decodable file handles") in v6.6 as the regressing commit, but this is not accurate. The aforementioned commit only increases the chances of the assertion and allows triggering the assertion with the reproducer using overlayfs, inotify and drop_caches. Triggering this assertion was always possible with other filesystems and other reasons of ->encode_fh() failures and more particularly, it was also possible with the exact same reproducer using overlayfs that is mounted with options index=on,nfs_export=on also on kernels < v6.6. Therefore, I am not listing the aforementioned commit as a Fixes commit. Backport hint: this patch will have a trivial conflict applying to v6.6.y, and other trivial conflicts applying to stable kernels < v6.6. Уязвимость компонентов fs ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: mm: Fix the out of bound issue of vmemmap address In sparse vmemmap model, the virtual address of vmemmap is calculated as: ((struct page *)VMEMMAP_START - (phys_ram_base >> PAGE_SHIFT)). And the struct page's va can be calculated with an offset: (vmemmap + (pfn)). However, when initializing struct pages, kernel actually starts from the first page from the same section that phys_ram_base belongs to. If the first page's physical address is not (phys_ram_base >> PAGE_SHIFT), then we get an va below VMEMMAP_START when calculating va for it's struct page. For example, if phys_ram_base starts from 0x82000000 with pfn 0x82000, the first page in the same section is actually pfn 0x80000. During init_unavailable_range(), we will initialize struct page for pfn 0x80000 with virtual address ((struct page *)VMEMMAP_START - 0x2000), which is below VMEMMAP_START as well as PCI_IO_END. This commit fixes this bug by introducing a new variable 'vmemmap_start_pfn' which is aligned with memory section size and using it to calculate vmemmap address instead of phys_ram_base. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: memcg: fix soft lockup in the OOM process A soft lockup issue was found in the product with about 56,000 tasks were in the OOM cgroup, it was traversing them when the soft lockup was triggered. watchdog: BUG: soft lockup - CPU#2 stuck for 23s! [VM Thread:1503066] CPU: 2 PID: 1503066 Comm: VM Thread Kdump: loaded Tainted: G Hardware name: Huawei Cloud OpenStack Nova, BIOS RIP: 0010:console_unlock+0x343/0x540 RSP: 0000:ffffb751447db9a0 EFLAGS: 00000247 ORIG_RAX: ffffffffffffff13 RAX: 0000000000000001 RBX: 0000000000000000 RCX: 00000000ffffffff RDX: 0000000000000000 RSI: 0000000000000004 RDI: 0000000000000247 RBP: ffffffffafc71f90 R08: 0000000000000000 R09: 0000000000000040 R10: 0000000000000080 R11: 0000000000000000 R12: ffffffffafc74bd0 R13: ffffffffaf60a220 R14: 0000000000000247 R15: 0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f2fe6ad91f0 CR3: 00000004b2076003 CR4: 0000000000360ee0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: vprintk_emit+0x193/0x280 printk+0x52/0x6e dump_task+0x114/0x130 mem_cgroup_scan_tasks+0x76/0x100 dump_header+0x1fe/0x210 oom_kill_process+0xd1/0x100 out_of_memory+0x125/0x570 mem_cgroup_out_of_memory+0xb5/0xd0 try_charge+0x720/0x770 mem_cgroup_try_charge+0x86/0x180 mem_cgroup_try_charge_delay+0x1c/0x40 do_anonymous_page+0xb5/0x390 handle_mm_fault+0xc4/0x1f0 This is because thousands of processes are in the OOM cgroup, it takes a long time to traverse all of them. As a result, this lead to soft lockup in the OOM process. To fix this issue, call 'cond_resched' in the 'mem_cgroup_scan_tasks' function per 1000 iterations. For global OOM, call 'touch_softlockup_watchdog' per 1000 iterations to avoid this issue. Уязвимость компонента memcg ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tpm: Change to kvalloc() in eventlog/acpi.c The following failure was reported on HPE ProLiant D320: [ 10.693310][ T1] tpm_tis STM0925:00: 2.0 TPM (device-id 0x3, rev-id 0) [ 10.848132][ T1] ------------[ cut here ]------------ [ 10.853559][ T1] WARNING: CPU: 59 PID: 1 at mm/page_alloc.c:4727 __alloc_pages_noprof+0x2ca/0x330 [ 10.862827][ T1] Modules linked in: [ 10.866671][ T1] CPU: 59 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.12.0-lp155.2.g52785e2-default #1 openSUSE Tumbleweed (unreleased) 588cd98293a7c9eba9013378d807364c088c9375 [ 10.882741][ T1] Hardware name: HPE ProLiant DL320 Gen12/ProLiant DL320 Gen12, BIOS 1.20 10/28/2024 [ 10.892170][ T1] RIP: 0010:__alloc_pages_noprof+0x2ca/0x330 [ 10.898103][ T1] Code: 24 08 e9 4a fe ff ff e8 34 36 fa ff e9 88 fe ff ff 83 fe 0a 0f 86 b3 fd ff ff 80 3d 01 e7 ce 01 00 75 09 c6 05 f8 e6 ce 01 01 <0f> 0b 45 31 ff e9 e5 fe ff ff f7 c2 00 00 08 00 75 42 89 d9 80 e1 [ 10.917750][ T1] RSP: 0000:ffffb7cf40077980 EFLAGS: 00010246 [ 10.923777][ T1] RAX: 0000000000000000 RBX: 0000000000040cc0 RCX: 0000000000000000 [ 10.931727][ T1] RDX: 0000000000000000 RSI: 000000000000000c RDI: 0000000000040cc0 The above transcript shows that ACPI pointed a 16 MiB buffer for the log events because RSI maps to the 'order' parameter of __alloc_pages_noprof(). Address the bug by moving from devm_kmalloc() to devm_add_action() and kvmalloc() and devm_add_action(). Уязвимость функции kvalloc() компонента eventlog/acpi.c The ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Fix crash during unbind if gpio unit is in use We used the wrong device for the device managed functions. We used the usb device, when we should be using the interface device. If we unbind the driver from the usb interface, the cleanup functions are never called. In our case, the IRQ is never disabled. If an IRQ is triggered, it will try to access memory sections that are already free, causing an OOPS. We cannot use the function devm_request_threaded_irq here. The devm_* clean functions may be called after the main structure is released by uvc_delete. Luckily this bug has small impact, as it is only affected by devices with gpio units and the user has to unbind the device, a disconnect will not trigger this error. Уязвимость компонента uvcvideo ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched/core: Prevent rescheduling when interrupts are disabled David reported a warning observed while loop testing kexec jump: Interrupts enabled after irqrouter_resume+0x0/0x50 WARNING: CPU: 0 PID: 560 at drivers/base/syscore.c:103 syscore_resume+0x18a/0x220 kernel_kexec+0xf6/0x180 __do_sys_reboot+0x206/0x250 do_syscall_64+0x95/0x180 The corresponding interrupt flag trace: hardirqs last enabled at (15573): [<ffffffffa8281b8e>] __up_console_sem+0x7e/0x90 hardirqs last disabled at (15580): [<ffffffffa8281b73>] __up_console_sem+0x63/0x90 That means __up_console_sem() was invoked with interrupts enabled. Further instrumentation revealed that in the interrupt disabled section of kexec jump one of the syscore_suspend() callbacks woke up a task, which set the NEED_RESCHED flag. A later callback in the resume path invoked cond_resched() which in turn led to the invocation of the scheduler: __cond_resched+0x21/0x60 down_timeout+0x18/0x60 acpi_os_wait_semaphore+0x4c/0x80 acpi_ut_acquire_mutex+0x3d/0x100 acpi_ns_get_node+0x27/0x60 acpi_ns_evaluate+0x1cb/0x2d0 acpi_rs_set_srs_method_data+0x156/0x190 acpi_pci_link_set+0x11c/0x290 irqrouter_resume+0x54/0x60 syscore_resume+0x6a/0x200 kernel_kexec+0x145/0x1c0 __do_sys_reboot+0xeb/0x240 do_syscall_64+0x95/0x180 This is a long standing problem, which probably got more visible with the recent printk changes. Something does a task wakeup and the scheduler sets the NEED_RESCHED flag. cond_resched() sees it set and invokes schedule() from a completely bogus context. The scheduler enables interrupts after context switching, which causes the above warning at the end. Quite some of the code paths in syscore_suspend()/resume() can result in triggering a wakeup with the exactly same consequences. They might not have done so yet, but as they share a lot of code with normal operations it's just a question of time. The problem only affects the PREEMPT_NONE and PREEMPT_VOLUNTARY scheduling models. Full preemption is not affected as cond_resched() is disabled and the preemption check preemptible() takes the interrupt disabled flag into account. Cure the problem by adding a corresponding check into cond_resched(). Уязвимость функции !defined() (kernel/sched/core.c) ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI/ASPM: Fix link state exit during switch upstream function removal Before 456d8aa37d0f ("PCI/ASPM: Disable ASPM on MFD function removal to avoid use-after-free"), we would free the ASPM link only after the last function on the bus pertaining to the given link was removed. That was too late. If function 0 is removed before sibling function, link->downstream would point to free'd memory after. After above change, we freed the ASPM parent link state upon any function removal on the bus pertaining to a given link. That is too early. If the link is to a PCIe switch with MFD on the upstream port, then removing functions other than 0 first would free a link which still remains parent_link to the remaining downstream ports. The resulting GPFs are especially frequent during hot-unplug, because pciehp removes devices on the link bus in reverse order. On that switch, function 0 is the virtual P2P bridge to the internal bus. Free exactly when function 0 is removed -- before the parent link is obsolete, but after all subordinate links are gone. [kwilczynski: commit log] Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: separate no-async decryption request handling from async If we're not doing async, the handling is much simpler. There's no reference counting, we just need to wait for the completion to wake us up and return its result. We should preferably also use a separate crypto_wait. I'm not seeing a UAF as I did in the past, I think aec7961916f3 ("tls: fix race between async notify and socket close") took care of it. This will make the next fix easier. Уязвимость компонента tls_sw.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo tls vsock ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 389-ds-base A denial of service vulnerability was found in the 389-ds-base LDAP server. This issue may allow an authenticated user to cause a server denial of service while attempting to log in with a user with a malformed hash in their password. Уязвимость сервера службы каталогов 389 Directory Server связана с неправильной проверкой согласованности во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1288')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.7) Astra Linux 3.8 389-ds-base A flaw was found in the 389 Directory Server. This flaw allows an unauthenticated user to cause a systematic server crash while sending a specific extended search request, leading to a denial of service. Уязвимость сервера службы каталогов 389 Directory Server связана с некорректной обработкой пропущенных значений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-230')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 3.8 mongo-c-driver The bson_strfreev function in the MongoDB C driver library may be susceptible to an integer overflow where the function will try to free memory at a negative offset. This may result in memory corruption. This issue affected libbson versions prior to 1.26.2 Уязвимость функции bson_strfreev() библиотеки libbson драйвера системы управления базами данных MongoDB C Driver связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-680')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=4.0) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 3.8 mongo-c-driver The bson_string_append function in MongoDB C Driver may be vulnerable to a buffer overflow where the function might attempt to allocate too small of buffer and may lead to memory corruption of neighbouring heap memory. This issue affects libbson versions prior to 1.27.1 Уязвимость функции bson_string_append библиотеки libbson драйвера системы управления базами данных MongoDB связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или повредить память [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 3.8 python3.11 There is a MEDIUM severity vulnerability affecting CPython. The email module didn’t properly quote newlines for email headers when serializing an email message allowing for header injection when an email is serialized. Уязвимость модуля email интерпретатора языка программирования Python связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L', score=5.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 expat A stack overflow vulnerability exists in the libexpat library due to the way it handles recursive entity expansion in XML documents. When parsing an XML document with deeply nested entity references, libexpat can be forced to recurse indefinitely, exhausting the stack space and causing a crash. This issue could lead to denial of service (DoS) or, in some cases, exploitable memory corruption, depending on the environment and library usage. Уязвимость библиотеки для анализа XML-файлов Expat связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости для ПО Thunderbird необходимо выполнить одно из следующих требований: - удалить ПО Thunderbird, если оно не используется; - отказаться от использования ПО Thunderbird в пользу ПО Evolution; - обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail. Для нейтрализации угрозы эксплуатации уязвимости для ПО expat необходимо выполнить одно из следующих требований: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Для нейтрализации угрозы эксплуатации уязвимости для ПО libxmltok необходимо выполнить одно из следующих требований: - Удалить ПО libxmltok, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxmltok в пользу ПО expat или libxml2 - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 unbound NLnet Labs Unbound up to and including version 1.21.0 contains a vulnerability when handling replies with very large RRsets that it needs to perform name compression for. Malicious upstreams responses with very large RRsets can cause Unbound to spend a considerable time applying name compression to downstream replies. This can lead to degraded performance and eventually denial of service in well orchestrated attacks. The vulnerability can be exploited by a malicious actor querying Unbound for the specially crafted contents of a malicious zone with very large RRsets. Before Unbound replies to the query it will try to apply name compression which was an unbounded operation that could lock the CPU until the whole packet was complete. Unbound version 1.21.1 introduces a hard limit on the number of name compression calculations it is willing to do per packet. Packets that need more compression will result in semi-compressed packets or truncated packets, even on TCP for huge messages, to avoid locking the CPU for long. This change should not affect normal DNS traffic. Уязвимость DNS-сервера Unbound связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-606'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) unbound: - включить и настроить межсетевой экран ufw для фильтрации трафика; - запускайте unbound с минимально необходимыми привилегиями; - обеспечить возможность запуска ПО unbound только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2. Astra Linux 3.8 ansible-core A flaw was found in Ansible, where sensitive information stored in Ansible Vault files can be exposed in plaintext during the execution of a playbook. This occurs when using tasks such as include_vars to load vaulted variables without setting the no_log: true parameter, resulting in sensitive data being printed in the playbook output or logs. This can lead to the unintentional disclosure of secrets like passwords or API keys, compromising security and potentially allowing unauthorized access or actions. Уязвимость систем управления конфигурациями Ansible Core и Ansible связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-532')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) Astra Linux 3.8 python3.11 A vulnerability has been found in the CPython `venv` module and CLI where path names provided when creating a virtual environment were not quoted properly, allowing the creator to inject commands into virtual environment "activation" scripts (ie "source venv/bin/activate"). This means that attacker-controlled virtual environments are able to run commands when the virtual environment is activated. Virtual environments which are not created by an attacker or which aren't activated before being used (ie "./venv/bin/python") are not affected. Уязвимость модуля `venv` интерпретатора языка программирования Python связана с отсутствием кавычек в написании элементов или путей поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-428'), NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 ansible-core A flaw was found in Ansible. The ansible-core `user` module can allow an unprivileged user to silently create or replace the contents of any file on any system path and take ownership of it when a privileged user executes the `user` module against the unprivileged user's home directory. If the unprivileged user has traversal permissions on the directory containing the exploited target file, they retain full control over the contents of the file as its owner. Уязвимость модуля `user` систем управления конфигурациями Ansible Core и Ansible связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L', score=6.3) Astra Linux 3.8 curl When asked to use a `.netrc` file for credentials **and** to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has a `default` entry that omits both login and password. A rare circumstance. Уязвимость программного средства для взаимодействия с серверами cURL связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 samba A flaw was found in Samba. The smbd service daemon does not pick up group membership changes when re-authenticating an expired SMB session. This issue can expose file shares until clients disconnect and then connect again. Уязвимость пакета программ сетевого взаимодействия Samba связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-552')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.9) samba: - Убедитесь, что процессы Samba не работают от имени root - Обеспечьте доступ к Samba только авторизованным пользователям - Отключите все неиспользуемые службы - Настройте брандмауэр для ограничения доступа к портам Samba: ``` sudo ufw allow from YOUR_TRUSTED_IP to any port 445 sudo ufw allow from YOUR_TRUSTED_IP to any port 139 ``` - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Samba (/etc/samba/smb.conf): ``` [global] # Запретите доступ всем, кроме доверенных сетей hosts allow = YOUR_TRUSTED_IP # Отключите поддержку WINS wins support = no # Отключите гостевой доступ security = user map to guest = never smb encrypt = required # Включите детальное логирование в отдельный файл для каждого клиента log level = 1 log file = /var/log/samba/log.%m max log size = 1000 ``` Astra Linux 3.8 grub2 A flaw was found in command/gpg. In some scenarios, hooks created by loaded modules are not removed when the related module is unloaded. This flaw allows an attacker to force grub2 to call the hooks once the module that registered it was unloaded, leading to a use-after-free vulnerability. If correctly exploited, this vulnerability may result in arbitrary code execution, eventually allowing the attacker to bypass secure boot protections. Уязвимость компонента command/gpg конфигурационного файла Grub связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. During the network boot process, when trying to search for the configuration file, grub copies data from a user controlled environment variable into an internal buffer using the grub_strcpy() function. During this step, it fails to consider the environment variable length when allocating the internal buffer, resulting in an out-of-bounds write. If correctly exploited, this issue may result in remote code execution through the same network segment grub is searching for the boot information, which can be used to by-pass secure boot protections. Уязвимость функции grub_net_search_config_file() конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H', score=7.6) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When performing a symlink lookup, the grub's UFS module checks the inode's data size to allocate the internal buffer to read the file content, however, it fails to check if the symlink data size has overflown. When this occurs, grub_malloc() may be called with a smaller value than needed. When further reading the data from the disk into the buffer, the grub_ufs_lookup_symlink() function will write past the end of the allocated size. An attack can leverage this by crafting a malicious filesystem, and as a result, it will corrupt data stored in the heap, allowing for arbitrary code execution used to by-pass secure boot mechanisms. Уязвимость модуля UFS конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When reading data from a squash4 filesystem, grub's squash4 fs module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciously crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the direct_read() will perform a heap based out-of-bounds write during data reading. This flaw may be leveraged to corrupt grub's internal critical data and may result in arbitrary code execution, by-passing secure boot protections. Уязвимость функции grub_malloc() модуля squash4 загрузчика операционных систем Grub2 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When performing a symlink lookup from a reiserfs filesystem, grub's reiserfs fs module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciouly crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the grub_reiserfs_read_symlink() will call grub_reiserfs_read_real() with a overflown length parameter, leading to a heap based out-of-bounds write during data reading. This flaw may be leveraged to corrupt grub's internal critical data and can result in arbitrary code execution, by-passing secure boot protections. Уязвимость компонента reiserfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When reading data from a jfs filesystem, grub's jfs filesystem module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciouly crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the grub_jfs_lookup_symlink() function will write past the internal buffer length during grub_jfs_read_file(). This issue can be leveraged to corrupt grub's internal critical data and may result in arbitrary code execution, by-passing secure boot protections. Уязвимость компонента jfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When performing a symlink lookup from a romfs filesystem, grub's romfs filesystem module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciously crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the grub_romfs_read_symlink() may cause out-of-bounds writes when the calling grub_disk_read() function. This issue may be leveraged to corrupt grub's internal critical data and can result in arbitrary code execution by-passing secure boot protections. Уязвимость компонента romfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 When reading data from disk, the grub's UDF filesystem module utilizes the user controlled data length metadata to allocate its internal buffers. In certain scenarios, while iterating through disk sectors, it assumes the read size from the disk is always smaller than the allocated buffer size which is not guaranteed. A crafted filesystem image may lead to a heap-based buffer overflow resulting in critical data to be corrupted, resulting in the risk of arbitrary code execution by-passing secure boot protections. Уязвимость компонента udf конфигурационного файла Grub связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного filesystem изображения [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 The read command is used to read the keyboard input from the user, while reads it keeps the input length in a 32-bit integer value which is further used to reallocate the line buffer to accept the next character. During this process, with a line big enough it's possible to make this variable to overflow leading to a out-of-bounds write in the heap based buffer. This flaw may be leveraged to corrupt grub's internal critical data and secure boot bypass is not discarded as consequence. Уязвимость загрузчика операционных систем Grub связана с записью за пределами границ. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:P/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H', score=6.1) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 mongo-c-driver The various bson_append functions in the MongoDB C driver library may be susceptible to buffer overflow when performing operations that could result in a final BSON document which exceeds the maximum allowable size (INT32_MAX), resulting in a segmentation fault and possible application crash. This issue affected libbson versions prior to 1.27.5, MongoDB Server v8.0 versions prior to 8.0.1 and MongoDB Server v7.0 versions prior to 7.0.16 Уязвимость библиотеки MongoDB C Driver связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 3.8 binutils A vulnerability, which was classified as problematic, was found in GNU Binutils up to 2.43. This affects the function disassemble_bytes of the file binutils/objdump.c. The manipulation of the argument buf leads to stack-based buffer overflow. It is possible to initiate the attack remotely. The complexity of an attack is rather high. The exploitability is told to be difficult. The exploit has been disclosed to the public and may be used. Upgrading to version 2.44 is able to address this issue. The identifier of the patch is baac6c221e9d69335bf41366a1c7d87d8ab2f893. It is recommended to upgrade the affected component. Уязвимость функции disassemble_bytes компонента binutils/objdump.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) - Ограничить доступ к использованию команды objdump - При использовании команды objdump выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 The Python standard library functions `urllib.parse.urlsplit` and `urlparse` accepted domain names that included square brackets which isn't valid according to RFC 3986. Square brackets are only meant to be used as delimiters for specifying IPv6 and IPvFuture hosts in URLs. This could result in differential parsing across the Python URL parser and other specification-compliant URL parsers. Уязвимость функций urllib.parse.urlsplit() и urlparse() интерпретатора языка программирования Python связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-20')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 samba A flaw was found in Samba, in the front-end WINS hook handling: NetBIOS names from registration packets are passed to a shell without proper validation or escaping. Unsanitized NetBIOS name data from WINS registration packets are inserted into a shell command and executed by the Samba Active Directory Domain Controller’s wins hook, allowing an unauthenticated network attacker to achieve remote command execution as the Samba process. Уязвимость реализации сервера разрешения имён WINS пакета программ сетевого взаимодействия Samba существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём отправки специально сформированного запроса к серверу WINS [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте конфигурационный файл /etc/samba/smb.conf и удалите параметр «wins hook» 2. Отключите поддержку WINS. Для этого, Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте конфигурационный файл /etc/samba/smb.conf и установите «wins support = no» 3. Не используйте ПО Samba в качестве контроллера домена Astra Linux 3.8 p7zip, 7zip 7-Zip ZIP File Parsing Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. Interaction with this product is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of symbolic links in ZIP files. Crafted data in a ZIP file can cause the process to traverse to unintended directories. An attacker can leverage this vulnerability to execute code in the context of a service account. Was ZDI-CAN-26753. Уязвимость файлового архиватора 7-Zip связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код при условии открытия пользователем специально сформированного ZIP-архива [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 p7zip, 7zip 7-Zip ZIP File Parsing Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. Interaction with this product is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of symbolic links in ZIP files. Crafted data in a ZIP file can cause the process to traverse to unintended directories. An attacker can leverage this vulnerability to execute code in the context of a service account. Was ZDI-CAN-26743. Уязвимость обработки символических ссылок в ZIP-файлах файлового архиватора 7-Zip связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 binutils A flaw has been found in GNU Binutils 2.45. Impacted is the function _bfd_elf_parse_eh_frame of the file bfd/elf-eh-frame.c of the component Linker. Executing manipulation can lead to heap-based buffer overflow. The attack is restricted to local execution. The exploit has been published and may be used. This patch is called ea1a0737c7692737a644af0486b71e4a392cbca8. A patch should be applied to remediate this issue. The code maintainer replied with "[f]ixed for 2.46". Уязвимость функции _bfd_elf_parse_eh_frame() программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability has been found in GNU Binutils 2.45. The affected element is the function elf_swap_shdr in the library bfd/elfcode.h of the component Linker. The manipulation leads to heap-based buffer overflow. The attack must be carried out locally. The exploit has been disclosed to the public and may be used. The identifier of the patch is 9ca499644a21ceb3f946d1c179c38a83be084490. To fix this issue, it is recommended to deploy a patch. The code maintainer replied with "[f]ixed for 2.46". Уязвимость функции elf_swap_shdr() программного средства разработки GNU Binutils связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 grub2 A flaw was found in grub2. Grub's dump command is not blocked when grub is in lockdown mode, which allows the user to read any memory information, and an attacker may leverage this in order to extract signatures, salts, and other sensitive information from the memory. Уязвимость команды dump конфигурационного файла Grub связана с нарушением доверительных границ. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-501')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 haproxy Inefficient algorithm complexity in mjson in HAProxy allows remote attackers to cause a denial of service via specially crafted JSON requests. Уязвимость компонента mjson.c серверного программного обеспечения HAProxy связана с алгоритмической сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 When reading data from a hfs filesystem, grub's hfs filesystem module uses user-controlled parameters from the filesystem metadata to calculate the internal buffers size, however it misses to properly check for integer overflows. A maliciouly crafted filesystem may lead some of those buffer size calculation to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result the hfsplus_open_compressed_real() function will write past of the internal buffer length. This flaw may be leveraged to corrupt grub's internal critical data and may result in arbitrary code execution by-passing secure boot protections. Уязвимость компонента hfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 binutils A vulnerability classified as problematic was found in GNU Binutils 2.43/2.44. Affected by this vulnerability is the function bfd_set_format of the file format.c. The manipulation leads to memory corruption. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. Upgrading to version 2.45 is able to address this issue. The identifier of the patch is 8d97c1a53f3dc9fd8e1ccdb039b8a33d50133150. It is recommended to upgrade the affected component. Уязвимость компонентов ld программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:N/I:N/A:P', score=2.6) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.43 and classified as critical. This issue affects the function _bfd_elf_gc_mark_rsec of the file elflink.c of the component ld. The manipulation leads to heap-based buffer overflow. The attack may be initiated remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used. The patch is named f9978defb6fab0bd8583942d97c112b0932ac814. It is recommended to apply a patch to fix this issue. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.43. It has been declared as problematic. Affected by this vulnerability is the function bfd_putl64 of the file libbfd.c of the component ld. The manipulation leads to memory corruption. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. The identifier of the patch is 75086e9de1707281172cc77f178e7949a4414ed0. It is recommended to apply a patch to fix this issue. Уязвимость функции bfd_putl64 компонента elf64-x86-64.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.43. It has been rated as critical. Affected by this issue is the function bfd_putl64 of the file bfd/libbfd.c of the component ld. The manipulation leads to memory corruption. The attack may be launched remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used. Upgrading to version 2.44 is able to address this issue. It is recommended to upgrade the affected component. The code maintainer explains, that "[t]his bug has been fixed at some point between the 2.43 and 2.44 releases". Уязвимость компонента libbfd.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability classified as critical was found in GNU Binutils 2.43. This vulnerability affects the function _bfd_elf_gc_mark_rsec of the file bfd/elflink.c of the component ld. The manipulation leads to memory corruption. The attack can be initiated remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. The name of the patch is 931494c9a89558acb36a03a340c01726545eef24. It is recommended to apply a patch to fix this issue. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability, which was classified as critical, was found in GNU Binutils 2.43. Affected is the function bfd_elf_reloc_symbol_deleted_p of the file bfd/elflink.c of the component ld. The manipulation leads to memory corruption. It is possible to launch the attack remotely. The complexity of an attack is rather high. The exploitability is told to be difficult. The exploit has been disclosed to the public and may be used. The patch is identified as b425859021d17adf62f06fb904797cf8642986ad. It is recommended to apply a patch to fix this issue. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 php8.2 In PHP versions:8.1.* before 8.1.33, 8.2.* before 8.2.29, 8.3.* before 8.3.23, 8.4.* before 8.4.10 some functions like fsockopen() lack validation that the hostname supplied does not contain null characters. This may lead to other functions like parse_url() treat the hostname in different way, thus opening way to security problems if the user code implements access checks before access using such functions. Уязвимость интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.7) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 libcap2 The PAM module pam_cap.so of libcap configuration supports group names starting with “@”, during actual parsing, configurations not starting with “@” are incorrectly recognized as group names. This may result in nonintended users being granted an inherited capability set, potentially leading to security risks. Attackers can exploit this vulnerability to achieve local privilege escalation on systems where /etc/security/capability.conf is used to configure user inherited privileges by constructing specific usernames. Уязвимость PAM-модуля pam_cap.so библиотеки libcap связана с недостатками разграничения доступа в результате некорректного распознавания имен пользователей. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N', score=6.1) Astra Linux 3.8 curl When an OAuth2 bearer token is used for an HTTP(S) transfer, and that transfer performs a cross-protocol redirect to a second URL that uses an IMAP, LDAP, POP3 or SMTP scheme, curl might wrongly pass on the bearer token to the new target host. Уязвимость программного средства для взаимодействия с серверами cURL связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 curl When doing TLS related transfers with reused easy or multi handles and altering the `CURLSSLOPT_NO_PARTIALCHAIN` option, libcurl could accidentally reuse a CA store cached in memory for which the partial chain option was reversed. Contrary to the user's wishes and expectations. This could make libcurl find and accept a trust chain that it otherwise would not. Уязвимость программного средства для взаимодействия с серверами CURL связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 php8.2 In PHP versions:8.1.* before 8.1.33, 8.2.* before 8.2.29, 8.3.* before 8.3.23, 8.4.* pgsql and pdo_pgsql escaping functions do not check if the underlying quoting functions returned errors. This could cause crashes if Postgres server rejects the string as invalid. Уязвимость функции PQescapeIdentifier() интерпретатора языка программирования PHP связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 python3.11 During an address list folding when a separating comma ends up on a folded line and that line is to be unicode-encoded then the separator itself is also unicode-encoded. Expected behavior is that the separating comma remains a plan comma. This can result in the address header being misinterpreted by some mail servers. Уязвимость интерпретатора языка программирования Python (CPython) связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить атаку методом подмены [NistCWE(cwe='CWE-116')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 mariadb Vulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.40 and prior, 8.4.3 and prior and 9.1.0 and prior. Easily exploitable vulnerability allows high privileged attacker with network access via multiple protocols to compromise MySQL Server. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of MySQL Server. CVSS 3.1 Base Score 4.9 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H). Уязвимость компонента InnoDB СУБД MariaDB и MySQL связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86/amd/pmc: Only disable IRQ1 wakeup where i8042 actually enabled it Wakeup for IRQ1 should be disabled only in cases where i8042 had actually enabled it, otherwise "wake_depth" for this IRQ will try to drop below zero and there will be an unpleasant WARN() logged: kernel: atkbd serio0: Disabling IRQ1 wakeup source to avoid platform firmware bug kernel: ------------[ cut here ]------------ kernel: Unbalanced IRQ 1 wake disable kernel: WARNING: CPU: 10 PID: 6431 at kernel/irq/manage.c:920 irq_set_irq_wake+0x147/0x1a0 The PMC driver uses DEFINE_SIMPLE_DEV_PM_OPS() to define its dev_pm_ops which sets amd_pmc_suspend_handler() to the .suspend, .freeze, and .poweroff handlers. i8042_pm_suspend(), however, is only set as the .suspend handler. Fix the issue by call PMC suspend handler only from the same set of dev_pm_ops handlers as i8042_pm_suspend(), which currently means just the .suspend handler. To reproduce this issue try hibernating (S4) the machine after a fresh boot without putting it into s2idle first. [ij: edited the commit message.] Уязвимость компонента platform/x86/amd/pmc ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pfifo_tail_enqueue: Drop new packet when sch->limit == 0 Expected behaviour: In case we reach scheduler's limit, pfifo_tail_enqueue() will drop a packet in scheduler's queue and decrease scheduler's qlen by one. Then, pfifo_tail_enqueue() enqueue new packet and increase scheduler's qlen by one. Finally, pfifo_tail_enqueue() return `NET_XMIT_CN` status code. Weird behaviour: In case we set `sch->limit == 0` and trigger pfifo_tail_enqueue() on a scheduler that has no packet, the 'drop a packet' step will do nothing. This means the scheduler's qlen still has value equal 0. Then, we continue to enqueue new packet and increase scheduler's qlen by one. In summary, we can leverage pfifo_tail_enqueue() to increase qlen by one and return `NET_XMIT_CN` status code. The problem is: Let's say we have two qdiscs: Qdisc_A and Qdisc_B. - Qdisc_A's type must have '->graft()' function to create parent/child relationship. Let's say Qdisc_A's type is `hfsc`. Enqueue packet to this qdisc will trigger `hfsc_enqueue`. - Qdisc_B's type is pfifo_head_drop. Enqueue packet to this qdisc will trigger `pfifo_tail_enqueue`. - Qdisc_B is configured to have `sch->limit == 0`. - Qdisc_A is configured to route the enqueued's packet to Qdisc_B. Enqueue packet through Qdisc_A will lead to: - hfsc_enqueue(Qdisc_A) -> pfifo_tail_enqueue(Qdisc_B) - Qdisc_B->q.qlen += 1 - pfifo_tail_enqueue() return `NET_XMIT_CN` - hfsc_enqueue() check for `NET_XMIT_SUCCESS` and see `NET_XMIT_CN` => hfsc_enqueue() don't increase qlen of Qdisc_A. The whole process lead to a situation where Qdisc_A->q.qlen == 0 and Qdisc_B->q.qlen == 1. Replace 'hfsc' with other type (for example: 'drr') still lead to the same problem. This violate the design where parent's qlen should equal to the sum of its childrens'qlen. Bug impact: This issue can be used for user->kernel privilege escalation when it is reachable. Уязвимость функции pfifo_tail_enqueue() (net/sched/sch_fifo.c) ядра операционной системы Linux связана с несоответствием функциональности согласно спецификации. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netem: Update sch->q.qlen before qdisc_tree_reduce_backlog() qdisc_tree_reduce_backlog() notifies parent qdisc only if child qdisc becomes empty, therefore we need to reduce the backlog of the child qdisc before calling it. Otherwise it would miss the opportunity to call cops->qlen_notify(), in the case of DRR, it resulted in UAF since DRR uses ->qlen_notify() to maintain its active list. Уязвимость функции netem_dequeue() модуля net/sched/sch_netem.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-21703 необходимо запретить загрузку модуля sch_netem.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_netem в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_netem ``` или ``` kmod list | grep sch_netem ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_netem ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_netem /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md/md-bitmap: Synchronize bitmap_get_stats() with bitmap lifetime After commit ec6bb299c7c3 ("md/md-bitmap: add 'sync_size' into struct md_bitmap_stats"), following panic is reported: Oops: general protection fault, probably for non-canonical address RIP: 0010:bitmap_get_stats+0x2b/0xa0 Call Trace: <TASK> md_seq_show+0x2d2/0x5b0 seq_read_iter+0x2b9/0x470 seq_read+0x12f/0x180 proc_reg_read+0x57/0xb0 vfs_read+0xf6/0x380 ksys_read+0x6c/0xf0 do_syscall_64+0x82/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Root cause is that bitmap_get_stats() can be called at anytime if mddev is still there, even if bitmap is destroyed, or not fully initialized. Deferenceing bitmap in this case can crash the kernel. Meanwhile, the above commit start to deferencing bitmap->storage, make the problem easier to trigger. Fix the problem by protecting bitmap_get_stats() with bitmap_info.mutex. Уязвимость компонента md/md-bitmap ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: handle errors that nilfs_prepare_chunk() may return Patch series "nilfs2: fix issues with rename operations". This series fixes BUG_ON check failures reported by syzbot around rename operations, and a minor behavioral issue where the mtime of a child directory changes when it is renamed instead of moved. This patch (of 2): The directory manipulation routines nilfs_set_link() and nilfs_delete_entry() rewrite the directory entry in the folio/page previously read by nilfs_find_entry(), so error handling is omitted on the assumption that nilfs_prepare_chunk(), which prepares the buffer for rewriting, will always succeed for these. And if an error is returned, it triggers the legacy BUG_ON() checks in each routine. This assumption is wrong, as proven by syzbot: the buffer layer called by nilfs_prepare_chunk() may call nilfs_get_block() if necessary, which may fail due to metadata corruption or other reasons. This has been there all along, but improved sanity checks and error handling may have made it more reproducible in fuzzing tests. Fix this issue by adding missing error paths in nilfs_set_link(), nilfs_delete_entry(), and their caller nilfs_rename(). Уязвимость компонента nilfs2 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hrtimers: Force migrate away hrtimers queued after CPUHP_AP_HRTIMERS_DYING hrtimers are migrated away from the dying CPU to any online target at the CPUHP_AP_HRTIMERS_DYING stage in order not to delay bandwidth timers handling tasks involved in the CPU hotplug forward progress. However wakeups can still be performed by the outgoing CPU after CPUHP_AP_HRTIMERS_DYING. Those can result again in bandwidth timers being armed. Depending on several considerations (crystal ball power management based election, earliest timer already enqueued, timer migration enabled or not), the target may eventually be the current CPU even if offline. If that happens, the timer is eventually ignored. The most notable example is RCU which had to deal with each and every of those wake-ups by deferring them to an online CPU, along with related workarounds: _ e787644caf76 (rcu: Defer RCU kthreads wakeup when CPU is dying) _ 9139f93209d1 (rcu/nocb: Fix RT throttling hrtimer armed from offline CPU) _ f7345ccc62a4 (rcu/nocb: Fix rcuog wake-up from offline softirq) The problem isn't confined to RCU though as the stop machine kthread (which runs CPUHP_AP_HRTIMERS_DYING) reports its completion at the end of its work through cpu_stop_signal_done() and performs a wake up that eventually arms the deadline server timer: WARNING: CPU: 94 PID: 588 at kernel/time/hrtimer.c:1086 hrtimer_start_range_ns+0x289/0x2d0 CPU: 94 UID: 0 PID: 588 Comm: migration/94 Not tainted Stopper: multi_cpu_stop+0x0/0x120 <- stop_machine_cpuslocked+0x66/0xc0 RIP: 0010:hrtimer_start_range_ns+0x289/0x2d0 Call Trace: <TASK> start_dl_timer enqueue_dl_entity dl_server_start enqueue_task_fair enqueue_task ttwu_do_activate try_to_wake_up complete cpu_stopper_thread Instead of providing yet another bandaid to work around the situation, fix it in the hrtimers infrastructure instead: always migrate away a timer to an online target whenever it is enqueued from an offline CPU. This will also allow to revert all the above RCU disgraceful hacks. Уязвимость компонентов hrtimers ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: core: flush gadget workqueue after device removal device_del() can lead to new work being scheduled in gadget->work workqueue. This is observed, for example, with the dwc3 driver with the following call stack: device_del() gadget_unbind_driver() usb_gadget_disconnect_locked() dwc3_gadget_pullup() dwc3_gadget_soft_disconnect() usb_gadget_set_state() schedule_work(&gadget->work) Move flush_work() after device_del() to ensure the workqueue is cleaned up. Уязвимость компонента drivers/usb/gadget/udc/core.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Load DR6 with guest value only before entering .vcpu_run() loop Move the conditional loading of hardware DR6 with the guest's DR6 value out of the core .vcpu_run() loop to fix a bug where KVM can load hardware with a stale vcpu->arch.dr6. When the guest accesses a DR and host userspace isn't debugging the guest, KVM disables DR interception and loads the guest's values into hardware on VM-Enter and saves them on VM-Exit. This allows the guest to access DRs at will, e.g. so that a sequence of DR accesses to configure a breakpoint only generates one VM-Exit. For DR0-DR3, the logic/behavior is identical between VMX and SVM, and also identical between KVM_DEBUGREG_BP_ENABLED (userspace debugging the guest) and KVM_DEBUGREG_WONT_EXIT (guest using DRs), and so KVM handles loading DR0-DR3 in common code, _outside_ of the core kvm_x86_ops.vcpu_run() loop. But for DR6, the guest's value doesn't need to be loaded into hardware for KVM_DEBUGREG_BP_ENABLED, and SVM provides a dedicated VMCB field whereas VMX requires software to manually load the guest value, and so loading the guest's value into DR6 is handled by {svm,vmx}_vcpu_run(), i.e. is done _inside_ the core run loop. Unfortunately, saving the guest values on VM-Exit is initiated by common x86, again outside of the core run loop. If the guest modifies DR6 (in hardware, when DR interception is disabled), and then the next VM-Exit is a fastpath VM-Exit, KVM will reload hardware DR6 with vcpu->arch.dr6 and clobber the guest's actual value. The bug shows up primarily with nested VMX because KVM handles the VMX preemption timer in the fastpath, and the window between hardware DR6 being modified (in guest context) and DR6 being read by guest software is orders of magnitude larger in a nested setup. E.g. in non-nested, the VMX preemption timer would need to fire precisely between #DB injection and the #DB handler's read of DR6, whereas with a KVM-on-KVM setup, the window where hardware DR6 is "dirty" extends all the way from L1 writing DR6 to VMRESUME (in L1). L1's view: ========== <L1 disables DR interception> CPU 0/KVM-7289 [023] d.... 2925.640961: kvm_entry: vcpu 0 A: L1 Writes DR6 CPU 0/KVM-7289 [023] d.... 2925.640963: <hack>: Set DRs, DR6 = 0xffff0ff1 B: CPU 0/KVM-7289 [023] d.... 2925.640967: kvm_exit: vcpu 0 reason EXTERNAL_INTERRUPT intr_info 0x800000ec D: L1 reads DR6, arch.dr6 = 0 CPU 0/KVM-7289 [023] d.... 2925.640969: <hack>: Sync DRs, DR6 = 0xffff0ff0 CPU 0/KVM-7289 [023] d.... 2925.640976: kvm_entry: vcpu 0 L2 reads DR6, L1 disables DR interception CPU 0/KVM-7289 [023] d.... 2925.640980: kvm_exit: vcpu 0 reason DR_ACCESS info1 0x0000000000000216 CPU 0/KVM-7289 [023] d.... 2925.640983: kvm_entry: vcpu 0 CPU 0/KVM-7289 [023] d.... 2925.640983: <hack>: Set DRs, DR6 = 0xffff0ff0 L2 detects failure CPU 0/KVM-7289 [023] d.... 2925.640987: kvm_exit: vcpu 0 reason HLT L1 reads DR6 (confirms failure) CPU 0/KVM-7289 [023] d.... 2925.640990: <hack>: Sync DRs, DR6 = 0xffff0ff0 L0's view: ========== L2 reads DR6, arch.dr6 = 0 CPU 23/KVM-5046 [001] d.... 3410.005610: kvm_exit: vcpu 23 reason DR_ACCESS info1 0x0000000000000216 CPU 23/KVM-5046 [001] ..... 3410.005610: kvm_nested_vmexit: vcpu 23 reason DR_ACCESS info1 0x0000000000000216 L2 => L1 nested VM-Exit CPU 23/KVM-5046 [001] ..... 3410.005610: kvm_nested_vmexit_inject: reason: DR_ACCESS ext_inf1: 0x0000000000000216 CPU 23/KVM-5046 [001] d.... 3410.005610: kvm_entry: vcpu 23 CPU 23/KVM-5046 [001] d.... 3410.005611: kvm_exit: vcpu 23 reason VMREAD CPU 23/KVM-5046 [001] d.... 3410.005611: kvm_entry: vcpu 23 CPU 23/KVM-5046 [001] d.... 3410. ---truncated--- Уязвимость компонента KVM ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: Add check for next_buffer in receive_encrypted_standard() Add check for the return value of cifs_buf_get() and cifs_small_buf_get() in receive_encrypted_standard() to prevent null pointer dereference. Уязвимость компонента smb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: acct: perform last write from workqueue In [1] it was reported that the acct(2) system call can be used to trigger NULL deref in cases where it is set to write to a file that triggers an internal lookup. This can e.g., happen when pointing acc(2) to /sys/power/resume. At the point the where the write to this file happens the calling task has already exited and called exit_fs(). A lookup will thus trigger a NULL-deref when accessing current->fs. Reorganize the code so that the the final write happens from the workqueue but with the caller's credentials. This preserves the (strange) permission model and has almost no regression risk. This api should stop to exist though. Уязвимость компонента acct ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfp: bpf: Add check for nfp_app_ctrl_msg_alloc() Add check for the return value of nfp_app_ctrl_msg_alloc() in nfp_bpf_cmsg_alloc() to prevent null pointer dereference. Уязвимость компонента bpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: avoid holding freeze_mutex during mmap operation We use map->freeze_mutex to prevent races between map_freeze() and memory mapping BPF map contents with writable permissions. The way we naively do this means we'll hold freeze_mutex for entire duration of all the mm and VMA manipulations, which is completely unnecessary. This can potentially also lead to deadlocks, as reported by syzbot in [0]. So, instead, hold freeze_mutex only during writeability checks, bump (proactively) "write active" count for the map, unlock the mutex and proceed with mmap logic. And only if something went wrong during mmap logic, then undo that "write active" counter increment. [0] https://lore.kernel.org/bpf/678dcbc9.050a0220.303755.0066.GAE@google.com/ Уязвимость компонента syscall.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: gadget: f_midi: f_midi_complete to call queue_work When using USB MIDI, a lock is attempted to be acquired twice through a re-entrant call to f_midi_transmit, causing a deadlock. Fix it by using queue_work() to schedule the inner f_midi_transmit() via a high priority work queue from the completion handler. Уязвимость компонента f_midi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drop_monitor: fix incorrect initialization order Syzkaller reports the following bug: BUG: spinlock bad magic on CPU#1, syz-executor.0/7995 lock: 0xffff88805303f3e0, .magic: 00000000, .owner: <none>/-1, .owner_cpu: 0 CPU: 1 PID: 7995 Comm: syz-executor.0 Tainted: G E 5.10.209+ #1 Hardware name: VMware, Inc. VMware Virtual Platform/440BX Desktop Reference Platform, BIOS 6.00 11/12/2020 Call Trace: __dump_stack lib/dump_stack.c:77 [inline] dump_stack+0x119/0x179 lib/dump_stack.c:118 debug_spin_lock_before kernel/locking/spinlock_debug.c:83 [inline] do_raw_spin_lock+0x1f6/0x270 kernel/locking/spinlock_debug.c:112 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:117 [inline] _raw_spin_lock_irqsave+0x50/0x70 kernel/locking/spinlock.c:159 reset_per_cpu_data+0xe6/0x240 [drop_monitor] net_dm_cmd_trace+0x43d/0x17a0 [drop_monitor] genl_family_rcv_msg_doit+0x22f/0x330 net/netlink/genetlink.c:739 genl_family_rcv_msg net/netlink/genetlink.c:783 [inline] genl_rcv_msg+0x341/0x5a0 net/netlink/genetlink.c:800 netlink_rcv_skb+0x14d/0x440 net/netlink/af_netlink.c:2497 genl_rcv+0x29/0x40 net/netlink/genetlink.c:811 netlink_unicast_kernel net/netlink/af_netlink.c:1322 [inline] netlink_unicast+0x54b/0x800 net/netlink/af_netlink.c:1348 netlink_sendmsg+0x914/0xe00 net/netlink/af_netlink.c:1916 sock_sendmsg_nosec net/socket.c:651 [inline] __sock_sendmsg+0x157/0x190 net/socket.c:663 ____sys_sendmsg+0x712/0x870 net/socket.c:2378 ___sys_sendmsg+0xf8/0x170 net/socket.c:2432 __sys_sendmsg+0xea/0x1b0 net/socket.c:2461 do_syscall_64+0x30/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x62/0xc7 RIP: 0033:0x7f3f9815aee9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f3f972bf0c8 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f3f9826d050 RCX: 00007f3f9815aee9 RDX: 0000000020000000 RSI: 0000000020001300 RDI: 0000000000000007 RBP: 00007f3f981b63bd R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 000000000000006e R14: 00007f3f9826d050 R15: 00007ffe01ee6768 If drop_monitor is built as a kernel module, syzkaller may have time to send a netlink NET_DM_CMD_START message during the module loading. This will call the net_dm_monitor_start() function that uses a spinlock that has not yet been initialized. To fix this, let's place resource initialization above the registration of a generic netlink family. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции net_dm_monitor_start() ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: drop secpath at the same time as we currently drop dst Xiumei reported hitting the WARN in xfrm6_tunnel_net_exit while running tests that boil down to: - create a pair of netns - run a basic TCP test over ipcomp6 - delete the pair of netns The xfrm_state found on spi_byaddr was not deleted at the time we delete the netns, because we still have a reference on it. This lingering reference comes from a secpath (which holds a ref on the xfrm_state), which is still attached to an skb. This skb is not leaked, it ends up on sk_receive_queue and then gets defer-free'd by skb_attempt_defer_free. The problem happens when we defer freeing an skb (push it on one CPU's defer_list), and don't flush that list before the netns is deleted. In that case, we still have a reference on the xfrm_state that we don't expect at this point. We already drop the skb's dst in the TCP receive path when it's no longer needed, so let's also drop the secpath. At this point, tcp_filter has already called into the LSM hooks that may require the secpath, so it should not be needed anymore. However, in some of those places, the MPTCP extension has just been attached to the skb, so we cannot simply drop all extensions. Уязвимость компонента tcp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gtp: Suppress list corruption splat in gtp_net_exit_batch_rtnl(). Brad Spengler reported the list_del() corruption splat in gtp_net_exit_batch_rtnl(). [0] Commit eb28fd76c0a0 ("gtp: Destroy device along with udp socket's netns dismantle.") added the for_each_netdev() loop in gtp_net_exit_batch_rtnl() to destroy devices in each netns as done in geneve and ip tunnels. However, this could trigger ->dellink() twice for the same device during ->exit_batch_rtnl(). Say we have two netns A & B and gtp device B that resides in netns B but whose UDP socket is in netns A. 1. cleanup_net() processes netns A and then B. 2. gtp_net_exit_batch_rtnl() finds the device B while iterating netns A's gn->gtp_dev_list and calls ->dellink(). [ device B is not yet unlinked from netns B as unregister_netdevice_many() has not been called. ] 3. gtp_net_exit_batch_rtnl() finds the device B while iterating netns B's for_each_netdev() and calls ->dellink(). gtp_dellink() cleans up the device's hash table, unlinks the dev from gn->gtp_dev_list, and calls unregister_netdevice_queue(). Basically, calling gtp_dellink() multiple times is fine unless CONFIG_DEBUG_LIST is enabled. Let's remove for_each_netdev() in gtp_net_exit_batch_rtnl() and delegate the destruction to default_device_exit_batch() as done in bareudp. [0]: list_del corruption, ffff8880aaa62c00->next (autoslab_size_M_dev_P_net_core_dev_11127_8_1328_8_S_4096_A_64_n_139+0xc00/0x1000 [slab object]) is LIST_POISON1 (ffffffffffffff02) (prev is 0xffffffffffffff04) kernel BUG at lib/list_debug.c:58! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN CPU: 1 UID: 0 PID: 1804 Comm: kworker/u8:7 Tainted: G T 6.12.13-grsec-full-20250211091339 #1 Tainted: [T]=RANDSTRUCT Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Workqueue: netns cleanup_net RIP: 0010:[<ffffffff84947381>] __list_del_entry_valid_or_report+0x141/0x200 lib/list_debug.c:58 Code: c2 76 91 31 c0 e8 9f b1 f7 fc 0f 0b 4d 89 f0 48 c7 c1 02 ff ff ff 48 89 ea 48 89 ee 48 c7 c7 e0 c2 76 91 31 c0 e8 7f b1 f7 fc <0f> 0b 4d 89 e8 48 c7 c1 04 ff ff ff 48 89 ea 48 89 ee 48 c7 c7 60 RSP: 0018:fffffe8040b4fbd0 EFLAGS: 00010283 RAX: 00000000000000cc RBX: dffffc0000000000 RCX: ffffffff818c4054 RDX: ffffffff84947381 RSI: ffffffff818d1512 RDI: 0000000000000000 RBP: ffff8880aaa62c00 R08: 0000000000000001 R09: fffffbd008169f32 R10: fffffe8040b4f997 R11: 0000000000000001 R12: a1988d84f24943e4 R13: ffffffffffffff02 R14: ffffffffffffff04 R15: ffff8880aaa62c08 RBX: kasan shadow of 0x0 RCX: __wake_up_klogd.part.0+0x74/0xe0 kernel/printk/printk.c:4554 RDX: __list_del_entry_valid_or_report+0x141/0x200 lib/list_debug.c:58 RSI: vprintk+0x72/0x100 kernel/printk/printk_safe.c:71 RBP: autoslab_size_M_dev_P_net_core_dev_11127_8_1328_8_S_4096_A_64_n_139+0xc00/0x1000 [slab object] RSP: process kstack fffffe8040b4fbd0+0x7bd0/0x8000 [kworker/u8:7+netns 1804 ] R09: kasan shadow of process kstack fffffe8040b4f990+0x7990/0x8000 [kworker/u8:7+netns 1804 ] R10: process kstack fffffe8040b4f997+0x7997/0x8000 [kworker/u8:7+netns 1804 ] R15: autoslab_size_M_dev_P_net_core_dev_11127_8_1328_8_S_4096_A_64_n_139+0xc08/0x1000 [slab object] FS: 0000000000000000(0000) GS:ffff888116000000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000748f5372c000 CR3: 0000000015408000 CR4: 00000000003406f0 shadow CR4: 00000000003406f0 Stack: 0000000000000000 ffffffff8a0c35e7 ffffffff8a0c3603 ffff8880aaa62c00 ffff8880aaa62c00 0000000000000004 ffff88811145311c 0000000000000005 0000000000000001 ffff8880aaa62000 fffffe8040b4fd40 ffffffff8a0c360d Call Trace: <TASK> [<ffffffff8a0c360d>] __list_del_entry_valid include/linux/list.h:131 [inline] fffffe8040b4fc28 [<ffffffff8a0c360d>] __list_del_entry include/linux/list.h:248 [inline] fffffe8040b4fc28 [<ffffffff8a0c360d>] list_del include/linux/list.h:262 [inl ---truncated--- Уязвимость компонента gtp ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/code-patching: Fix KASAN hit by not flagging text patching area as VM_ALLOC Erhard reported the following KASAN hit while booting his PowerMac G4 with a KASAN-enabled kernel 6.13-rc6: BUG: KASAN: vmalloc-out-of-bounds in copy_to_kernel_nofault+0xd8/0x1c8 Write of size 8 at addr f1000000 by task chronyd/1293 CPU: 0 UID: 123 PID: 1293 Comm: chronyd Tainted: G W 6.13.0-rc6-PMacG4 #2 Tainted: [W]=WARN Hardware name: PowerMac3,6 7455 0x80010303 PowerMac Call Trace: [c2437590] [c1631a84] dump_stack_lvl+0x70/0x8c (unreliable) [c24375b0] [c0504998] print_report+0xdc/0x504 [c2437610] [c050475c] kasan_report+0xf8/0x108 [c2437690] [c0505a3c] kasan_check_range+0x24/0x18c [c24376a0] [c03fb5e4] copy_to_kernel_nofault+0xd8/0x1c8 [c24376c0] [c004c014] patch_instructions+0x15c/0x16c [c2437710] [c00731a8] bpf_arch_text_copy+0x60/0x7c [c2437730] [c0281168] bpf_jit_binary_pack_finalize+0x50/0xac [c2437750] [c0073cf4] bpf_int_jit_compile+0xb30/0xdec [c2437880] [c0280394] bpf_prog_select_runtime+0x15c/0x478 [c24378d0] [c1263428] bpf_prepare_filter+0xbf8/0xc14 [c2437990] [c12677ec] bpf_prog_create_from_user+0x258/0x2b4 [c24379d0] [c027111c] do_seccomp+0x3dc/0x1890 [c2437ac0] [c001d8e0] system_call_exception+0x2dc/0x420 [c2437f30] [c00281ac] ret_from_syscall+0x0/0x2c --- interrupt: c00 at 0x5a1274 NIP: 005a1274 LR: 006a3b3c CTR: 005296c8 REGS: c2437f40 TRAP: 0c00 Tainted: G W (6.13.0-rc6-PMacG4) MSR: 0200f932 <VEC,EE,PR,FP,ME,IR,DR,RI> CR: 24004422 XER: 00000000 GPR00: 00000166 af8f3fa0 a7ee3540 00000001 00000000 013b6500 005a5858 0200f932 GPR08: 00000000 00001fe9 013d5fc8 005296c8 2822244c 00b2fcd8 00000000 af8f4b57 GPR16: 00000000 00000001 00000000 00000000 00000000 00000001 00000000 00000002 GPR24: 00afdbb0 00000000 00000000 00000000 006e0004 013ce060 006e7c1c 00000001 NIP [005a1274] 0x5a1274 LR [006a3b3c] 0x6a3b3c --- interrupt: c00 The buggy address belongs to the virtual mapping at [f1000000, f1002000) created by: text_area_cpu_up+0x20/0x190 The buggy address belongs to the physical page: page: refcount:1 mapcount:0 mapping:00000000 index:0x0 pfn:0x76e30 flags: 0x80000000(zone=2) raw: 80000000 00000000 00000122 00000000 00000000 00000000 ffffffff 00000001 raw: 00000000 page dumped because: kasan: bad access detected Memory state around the buggy address: f0ffff00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 f0ffff80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 >f1000000: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ^ f1000080: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f1000100: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ================================================================== f8 corresponds to KASAN_VMALLOC_INVALID which means the area is not initialised hence not supposed to be used yet. Powerpc text patching infrastructure allocates a virtual memory area using get_vm_area() and flags it as VM_ALLOC. But that flag is meant to be used for vmalloc() and vmalloc() allocated memory is not supposed to be used before a call to __vmalloc_node_range() which is never called for that area. That went undetected until commit e4137f08816b ("mm, kasan, kmsan: instrument copy_from/to_kernel_nofault") The area allocated by text_area_cpu_up() is not vmalloc memory, it is mapped directly on demand when needed by map_kernel_page(). There is no VM flag corresponding to such usage, so just pass no flag. That way the area will be unpoisonned and usable immediately. Уязвимость компонента powerpc/code-patching ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tee: optee: Fix supplicant wait loop OP-TEE supplicant is a user-space daemon and it's possible for it be hung or crashed or killed in the middle of processing an OP-TEE RPC call. It becomes more complicated when there is incorrect shutdown ordering of the supplicant process vs the OP-TEE client application which can eventually lead to system hang-up waiting for the closure of the client application. Allow the client process waiting in kernel for supplicant response to be killed rather than indefinitely waiting in an unkillable state. Also, a normal uninterruptible wait should not have resulted in the hung-task watchdog getting triggered, but the endless loop would. This fixes issues observed during system reboot/shutdown when supplicant got hung for some reason or gets crashed/killed which lead to client getting hung in an unkillable state. It in turn lead to system being in hung up state requiring hard power off/on to recover. Уязвимость функции optee_supp_thrd_req() (drivers/tee/optee/supp.c) ядра операционной системы Linux связана с некорректной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: always handle address removal under msk socket lock Syzkaller reported a lockdep splat in the PM control path: WARNING: CPU: 0 PID: 6693 at ./include/net/sock.h:1711 sock_owned_by_me include/net/sock.h:1711 [inline] WARNING: CPU: 0 PID: 6693 at ./include/net/sock.h:1711 msk_owned_by_me net/mptcp/protocol.h:363 [inline] WARNING: CPU: 0 PID: 6693 at ./include/net/sock.h:1711 mptcp_pm_nl_addr_send_ack+0x57c/0x610 net/mptcp/pm_netlink.c:788 Modules linked in: CPU: 0 UID: 0 PID: 6693 Comm: syz.0.205 Not tainted 6.14.0-rc2-syzkaller-00303-gad1b832bf1cf #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 12/27/2024 RIP: 0010:sock_owned_by_me include/net/sock.h:1711 [inline] RIP: 0010:msk_owned_by_me net/mptcp/protocol.h:363 [inline] RIP: 0010:mptcp_pm_nl_addr_send_ack+0x57c/0x610 net/mptcp/pm_netlink.c:788 Code: 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc e8 ca 7b d3 f5 eb b9 e8 c3 7b d3 f5 90 0f 0b 90 e9 dd fb ff ff e8 b5 7b d3 f5 90 <0f> 0b 90 e9 3e fb ff ff 44 89 f1 80 e1 07 38 c1 0f 8c eb fb ff ff RSP: 0000:ffffc900034f6f60 EFLAGS: 00010283 RAX: ffffffff8bee3c2b RBX: 0000000000000001 RCX: 0000000000080000 RDX: ffffc90004d42000 RSI: 000000000000a407 RDI: 000000000000a408 RBP: ffffc900034f7030 R08: ffffffff8bee37f6 R09: 0100000000000000 R10: dffffc0000000000 R11: ffffed100bcc62e4 R12: ffff88805e6316e0 R13: ffff88805e630c00 R14: dffffc0000000000 R15: ffff88805e630c00 FS: 00007f7e9a7e96c0(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b2fd18ff8 CR3: 0000000032c24000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> mptcp_pm_remove_addr+0x103/0x1d0 net/mptcp/pm.c:59 mptcp_pm_remove_anno_addr+0x1f4/0x2f0 net/mptcp/pm_netlink.c:1486 mptcp_nl_remove_subflow_and_signal_addr net/mptcp/pm_netlink.c:1518 [inline] mptcp_pm_nl_del_addr_doit+0x118d/0x1af0 net/mptcp/pm_netlink.c:1629 genl_family_rcv_msg_doit net/netlink/genetlink.c:1115 [inline] genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0xb1f/0xec0 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x206/0x480 net/netlink/af_netlink.c:2543 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1322 [inline] netlink_unicast+0x7f6/0x990 net/netlink/af_netlink.c:1348 netlink_sendmsg+0x8de/0xcb0 net/netlink/af_netlink.c:1892 sock_sendmsg_nosec net/socket.c:718 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:733 ____sys_sendmsg+0x53a/0x860 net/socket.c:2573 ___sys_sendmsg net/socket.c:2627 [inline] __sys_sendmsg+0x269/0x350 net/socket.c:2659 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f7e9998cde9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f7e9a7e9038 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f7e99ba5fa0 RCX: 00007f7e9998cde9 RDX: 000000002000c094 RSI: 0000400000000000 RDI: 0000000000000007 RBP: 00007f7e99a0e2a0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f7e99ba5fa0 R15: 00007fff49231088 Indeed the PM can try to send a RM_ADDR over a msk without acquiring first the msk socket lock. The bugged code-path comes from an early optimization: when there are no subflows, the PM should (usually) not send RM_ADDR notifications. The above statement is incorrect, as without locks another process could concur ---truncated--- Уязвимость функции mptcp_nl_remove_subflow_and_signal_addr() (net/mptcp/pm_netlink.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usbnet: gl620a: fix endpoint checking in genelink_bind() Syzbot reports [1] a warning in usb_submit_urb() triggered by inconsistencies between expected and actually present endpoints in gl620a driver. Since genelink_bind() does not properly verify whether specified eps are in fact provided by the device, in this case, an artificially manufactured one, one may get a mismatch. Fix the issue by resorting to a usbnet utility function usbnet_get_endpoints(), usually reserved for this very problem. Check for endpoints and return early before proceeding further if any are missing. [1] Syzbot report: usb 5-1: Manufacturer: syz usb 5-1: SerialNumber: syz usb 5-1: config 0 descriptor?? gl620a 5-1:0.23 usb0: register 'gl620a' at usb-dummy_hcd.0-1, ... ------------[ cut here ]------------ usb 5-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 2 PID: 1841 at drivers/usb/core/urb.c:503 usb_submit_urb+0xe4b/0x1730 drivers/usb/core/urb.c:503 Modules linked in: CPU: 2 UID: 0 PID: 1841 Comm: kworker/2:2 Not tainted 6.12.0-syzkaller-07834-g06afb0f36106 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: mld mld_ifc_work RIP: 0010:usb_submit_urb+0xe4b/0x1730 drivers/usb/core/urb.c:503 ... Call Trace: <TASK> usbnet_start_xmit+0x6be/0x2780 drivers/net/usb/usbnet.c:1467 __netdev_start_xmit include/linux/netdevice.h:5002 [inline] netdev_start_xmit include/linux/netdevice.h:5011 [inline] xmit_one net/core/dev.c:3590 [inline] dev_hard_start_xmit+0x9a/0x7b0 net/core/dev.c:3606 sch_direct_xmit+0x1ae/0xc30 net/sched/sch_generic.c:343 __dev_xmit_skb net/core/dev.c:3827 [inline] __dev_queue_xmit+0x13d4/0x43e0 net/core/dev.c:4400 dev_queue_xmit include/linux/netdevice.h:3168 [inline] neigh_resolve_output net/core/neighbour.c:1514 [inline] neigh_resolve_output+0x5bc/0x950 net/core/neighbour.c:1494 neigh_output include/net/neighbour.h:539 [inline] ip6_finish_output2+0xb1b/0x2070 net/ipv6/ip6_output.c:141 __ip6_finish_output net/ipv6/ip6_output.c:215 [inline] ip6_finish_output+0x3f9/0x1360 net/ipv6/ip6_output.c:226 NF_HOOK_COND include/linux/netfilter.h:303 [inline] ip6_output+0x1f8/0x540 net/ipv6/ip6_output.c:247 dst_output include/net/dst.h:450 [inline] NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netfilter.h:308 [inline] mld_sendpack+0x9f0/0x11d0 net/ipv6/mcast.c:1819 mld_send_cr net/ipv6/mcast.c:2120 [inline] mld_ifc_work+0x740/0xca0 net/ipv6/mcast.c:2651 process_one_work+0x9c5/0x1ba0 kernel/workqueue.c:3229 process_scheduled_works kernel/workqueue.c:3310 [inline] worker_thread+0x6c8/0xf00 kernel/workqueue.c:3391 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Уязвимость функции genelink_bind() (drivers/net/usb/gl620a.c) ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: npcm: disable interrupt enable bit before devm_request_irq The customer reports that there is a soft lockup issue related to the i2c driver. After checking, the i2c module was doing a tx transfer and the bmc machine reboots in the middle of the i2c transaction, the i2c module keeps the status without being reset. Due to such an i2c module status, the i2c irq handler keeps getting triggered since the i2c irq handler is registered in the kernel booting process after the bmc machine is doing a warm rebooting. The continuous triggering is stopped by the soft lockup watchdog timer. Disable the interrupt enable bit in the i2c module before calling devm_request_irq to fix this issue since the i2c relative status bit is read-only. Here is the soft lockup log. [ 28.176395] watchdog: BUG: soft lockup - CPU#0 stuck for 26s! [swapper/0:1] [ 28.183351] Modules linked in: [ 28.186407] CPU: 0 PID: 1 Comm: swapper/0 Not tainted 5.15.120-yocto-s-dirty-bbebc78 #1 [ 28.201174] pstate: 40000005 (nZcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 28.208128] pc : __do_softirq+0xb0/0x368 [ 28.212055] lr : __do_softirq+0x70/0x368 [ 28.215972] sp : ffffff8035ebca00 [ 28.219278] x29: ffffff8035ebca00 x28: 0000000000000002 x27: ffffff80071a3780 [ 28.226412] x26: ffffffc008bdc000 x25: ffffffc008bcc640 x24: ffffffc008be50c0 [ 28.233546] x23: ffffffc00800200c x22: 0000000000000000 x21: 000000000000001b [ 28.240679] x20: 0000000000000000 x19: ffffff80001c3200 x18: ffffffffffffffff [ 28.247812] x17: ffffffc02d2e0000 x16: ffffff8035eb8b40 x15: 00001e8480000000 [ 28.254945] x14: 02c3647e37dbfcb6 x13: 02c364f2ab14200c x12: 0000000002c364f2 [ 28.262078] x11: 00000000fa83b2da x10: 000000000000b67e x9 : ffffffc008010250 [ 28.269211] x8 : 000000009d983d00 x7 : 7fffffffffffffff x6 : 0000036d74732434 [ 28.276344] x5 : 00ffffffffffffff x4 : 0000000000000015 x3 : 0000000000000198 [ 28.283476] x2 : ffffffc02d2e0000 x1 : 00000000000000e0 x0 : ffffffc008bdcb40 [ 28.290611] Call trace: [ 28.293052] __do_softirq+0xb0/0x368 [ 28.296625] __irq_exit_rcu+0xe0/0x100 [ 28.300374] irq_exit+0x14/0x20 [ 28.303513] handle_domain_irq+0x68/0x90 [ 28.307440] gic_handle_irq+0x78/0xb0 [ 28.311098] call_on_irq_stack+0x20/0x38 [ 28.315019] do_interrupt_handler+0x54/0x5c [ 28.319199] el1_interrupt+0x2c/0x4c [ 28.322777] el1h_64_irq_handler+0x14/0x20 [ 28.326872] el1h_64_irq+0x74/0x78 [ 28.330269] __setup_irq+0x454/0x780 [ 28.333841] request_threaded_irq+0xd0/0x1b4 [ 28.338107] devm_request_threaded_irq+0x84/0x100 [ 28.342809] npcm_i2c_probe_bus+0x188/0x3d0 [ 28.346990] platform_probe+0x6c/0xc4 [ 28.350653] really_probe+0xcc/0x45c [ 28.354227] __driver_probe_device+0x8c/0x160 [ 28.358578] driver_probe_device+0x44/0xe0 [ 28.362670] __driver_attach+0x124/0x1d0 [ 28.366589] bus_for_each_dev+0x7c/0xe0 [ 28.370426] driver_attach+0x28/0x30 [ 28.373997] bus_add_driver+0x124/0x240 [ 28.377830] driver_register+0x7c/0x124 [ 28.381662] __platform_driver_register+0x2c/0x34 [ 28.386362] npcm_i2c_init+0x3c/0x5c [ 28.389937] do_one_initcall+0x74/0x230 [ 28.393768] kernel_init_freeable+0x24c/0x2b4 [ 28.398126] kernel_init+0x28/0x130 [ 28.401614] ret_from_fork+0x10/0x20 [ 28.405189] Kernel panic - not syncing: softlockup: hung tasks [ 28.411011] SMP: stopping secondary CPUs [ 28.414933] Kernel Offset: disabled [ 28.418412] CPU features: 0x00000000,00000802 [ 28.427644] Rebooting in 20 seconds.. Уязвимость функции npcm_i2c_probe_bus() (drivers/i2c/busses/i2c-npcm7xx.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uprobes: Reject the shared zeropage in uprobe_write_opcode() We triggered the following crash in syzkaller tests: BUG: Bad page state in process syz.7.38 pfn:1eff3 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x1eff3 flags: 0x3fffff00004004(referenced|reserved|node=0|zone=1|lastcpupid=0x1fffff) raw: 003fffff00004004 ffffe6c6c07bfcc8 ffffe6c6c07bfcc8 0000000000000000 raw: 0000000000000000 0000000000000000 00000000fffffffe 0000000000000000 page dumped because: PAGE_FLAGS_CHECK_AT_FREE flag(s) set Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x32/0x50 bad_page+0x69/0xf0 free_unref_page_prepare+0x401/0x500 free_unref_page+0x6d/0x1b0 uprobe_write_opcode+0x460/0x8e0 install_breakpoint.part.0+0x51/0x80 register_for_each_vma+0x1d9/0x2b0 __uprobe_register+0x245/0x300 bpf_uprobe_multi_link_attach+0x29b/0x4f0 link_create+0x1e2/0x280 __sys_bpf+0x75f/0xac0 __x64_sys_bpf+0x1a/0x30 do_syscall_64+0x56/0x100 entry_SYSCALL_64_after_hwframe+0x78/0xe2 BUG: Bad rss-counter state mm:00000000452453e0 type:MM_FILEPAGES val:-1 The following syzkaller test case can be used to reproduce: r2 = creat(&(0x7f0000000000)='./file0\x00', 0x8) write$nbd(r2, &(0x7f0000000580)=ANY=[], 0x10) r4 = openat(0xffffffffffffff9c, &(0x7f0000000040)='./file0\x00', 0x42, 0x0) mmap$IORING_OFF_SQ_RING(&(0x7f0000ffd000/0x3000)=nil, 0x3000, 0x0, 0x12, r4, 0x0) r5 = userfaultfd(0x80801) ioctl$UFFDIO_API(r5, 0xc018aa3f, &(0x7f0000000040)={0xaa, 0x20}) r6 = userfaultfd(0x80801) ioctl$UFFDIO_API(r6, 0xc018aa3f, &(0x7f0000000140)) ioctl$UFFDIO_REGISTER(r6, 0xc020aa00, &(0x7f0000000100)={{&(0x7f0000ffc000/0x4000)=nil, 0x4000}, 0x2}) ioctl$UFFDIO_ZEROPAGE(r5, 0xc020aa04, &(0x7f0000000000)={{&(0x7f0000ffd000/0x1000)=nil, 0x1000}}) r7 = bpf$PROG_LOAD(0x5, &(0x7f0000000140)={0x2, 0x3, &(0x7f0000000200)=ANY=[@ANYBLOB="1800000000120000000000000000000095"], &(0x7f0000000000)='GPL\x00', 0x7, 0x0, 0x0, 0x0, 0x0, '\x00', 0x0, @fallback=0x30, 0xffffffffffffffff, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x10, 0x0, @void, @value}, 0x94) bpf$BPF_LINK_CREATE_XDP(0x1c, &(0x7f0000000040)={r7, 0x0, 0x30, 0x1e, @val=@uprobe_multi={&(0x7f0000000080)='./file0\x00', &(0x7f0000000100)=[0x2], 0x0, 0x0, 0x1}}, 0x40) The cause is that zero pfn is set to the PTE without increasing the RSS count in mfill_atomic_pte_zeropage() and the refcount of zero folio does not increase accordingly. Then, the operation on the same pfn is performed in uprobe_write_opcode()->__replace_page() to unconditional decrease the RSS count and old_folio's refcount. Therefore, two bugs are introduced: 1. The RSS count is incorrect, when process exit, the check_mm() report error "Bad rss-count". 2. The reserved folio (zero folio) is freed when folio->refcount is zero, then free_pages_prepare->free_page_is_bad() report error "Bad page state". There is more, the following warning could also theoretically be triggered: __replace_page() -> ... -> folio_remove_rmap_pte() -> VM_WARN_ON_FOLIO(is_zero_folio(folio), folio) Considering that uprobe hit on the zero folio is a very rare case, just reject zero old folio immediately after get_user_page_vma_remote(). [ mingo: Cleaned up the changelog ] Уязвимость функции uprobe_write_opcode() модуля kernel/events/uprobes.c ядра операционных систем Linux связана с некорректным расчетом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvlan: ensure network headers are in skb linear part syzbot found that ipvlan_process_v6_outbound() was assuming the IPv6 network header isis present in skb->head [1] Add the needed pskb_network_may_pull() calls for both IPv4 and IPv6 handlers. [1] BUG: KMSAN: uninit-value in __ipv6_addr_type+0xa2/0x490 net/ipv6/addrconf_core.c:47 __ipv6_addr_type+0xa2/0x490 net/ipv6/addrconf_core.c:47 ipv6_addr_type include/net/ipv6.h:555 [inline] ip6_route_output_flags_noref net/ipv6/route.c:2616 [inline] ip6_route_output_flags+0x51/0x720 net/ipv6/route.c:2651 ip6_route_output include/net/ip6_route.h:93 [inline] ipvlan_route_v6_outbound+0x24e/0x520 drivers/net/ipvlan/ipvlan_core.c:476 ipvlan_process_v6_outbound drivers/net/ipvlan/ipvlan_core.c:491 [inline] ipvlan_process_outbound drivers/net/ipvlan/ipvlan_core.c:541 [inline] ipvlan_xmit_mode_l3 drivers/net/ipvlan/ipvlan_core.c:605 [inline] ipvlan_queue_xmit+0xd72/0x1780 drivers/net/ipvlan/ipvlan_core.c:671 ipvlan_start_xmit+0x5b/0x210 drivers/net/ipvlan/ipvlan_main.c:223 __netdev_start_xmit include/linux/netdevice.h:5150 [inline] netdev_start_xmit include/linux/netdevice.h:5159 [inline] xmit_one net/core/dev.c:3735 [inline] dev_hard_start_xmit+0x247/0xa20 net/core/dev.c:3751 sch_direct_xmit+0x399/0xd40 net/sched/sch_generic.c:343 qdisc_restart net/sched/sch_generic.c:408 [inline] __qdisc_run+0x14da/0x35d0 net/sched/sch_generic.c:416 qdisc_run+0x141/0x4d0 include/net/pkt_sched.h:127 net_tx_action+0x78b/0x940 net/core/dev.c:5484 handle_softirqs+0x1a0/0x7c0 kernel/softirq.c:561 __do_softirq+0x14/0x1a kernel/softirq.c:595 do_softirq+0x9a/0x100 kernel/softirq.c:462 __local_bh_enable_ip+0x9f/0xb0 kernel/softirq.c:389 local_bh_enable include/linux/bottom_half.h:33 [inline] rcu_read_unlock_bh include/linux/rcupdate.h:919 [inline] __dev_queue_xmit+0x2758/0x57d0 net/core/dev.c:4611 dev_queue_xmit include/linux/netdevice.h:3311 [inline] packet_xmit+0x9c/0x6c0 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3132 [inline] packet_sendmsg+0x93e0/0xa7e0 net/packet/af_packet.c:3164 sock_sendmsg_nosec net/socket.c:718 [inline] Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Avoid potential division by zero in function_stat_show() Check whether denominator expression x * (x - 1) * 1000 mod {2^32, 2^64} produce zero and skip stddev computation in that case. For now don't care about rec->counter * rec->counter overflow because rec->time * rec->time overflow will likely happen earlier. Уязвимость компонента ftrace функции function_stat_show ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix bad hist from corrupting named_triggers list The following commands causes a crash: ~# cd /sys/kernel/tracing/events/rcu/rcu_callback ~# echo 'hist:name=bad:keys=common_pid:onmax(bogus).save(common_pid)' > trigger bash: echo: write error: Invalid argument ~# echo 'hist:name=bad:keys=common_pid' > trigger Because the following occurs: event_trigger_write() { trigger_process_regex() { event_hist_trigger_parse() { data = event_trigger_alloc(..); event_trigger_register(.., data) { cmd_ops->reg(.., data, ..) [hist_register_trigger()] { data->ops->init() [event_hist_trigger_init()] { save_named_trigger(name, data) { list_add(&data->named_list, &named_triggers); } } } } ret = create_actions(); (return -EINVAL) if (ret) goto out_unreg; [..] ret = hist_trigger_enable(data, ...) { list_add_tail_rcu(&data->list, &file->triggers); <<<---- SKIPPED!!! (this is important!) [..] out_unreg: event_hist_unregister(.., data) { cmd_ops->unreg(.., data, ..) [hist_unregister_trigger()] { list_for_each_entry(iter, &file->triggers, list) { if (!hist_trigger_match(data, iter, named_data, false)) <- never matches continue; [..] test = iter; } if (test && test->ops->free) <<<-- test is NULL test->ops->free(test) [event_hist_trigger_free()] { [..] if (data->name) del_named_trigger(data) { list_del(&data->named_list); <<<<-- NEVER gets removed! } } } } [..] kfree(data); <<<-- frees item but it is still on list The next time a hist with name is registered, it causes an u-a-f bug and the kernel can crash. Move the code around such that if event_trigger_register() succeeds, the next thing called is hist_trigger_enable() which adds it to the list. A bunch of actions is called if get_named_trigger_data() returns false. But that doesn't need to be called after event_trigger_register(), so it can be moved up, allowing event_trigger_register() to be called just before hist_trigger_enable() keeping them together and allowing the file->triggers to be properly populated. Уязвимость компонента tracing функции event_trigger_write ядра операционной системы Linux связана с недостаточной обработкой регулярных выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: caif_virtio: fix wrong pointer check in cfv_probe() del_vqs() frees virtqueues, therefore cfv->vq_tx pointer should be checked for NULL before calling it, not cfv->vdev. Also the current implementation is redundant because the pointer cfv->vdev is dereferenced before it is checked for NULL. Fix this by checking cfv->vq_tx for NULL instead of cfv->vdev before calling del_vqs(). Уязвимость файла drivers/net/caif/caif_virtio.c ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: nl80211: reject cooked mode if it is set along with other flags It is possible to set both MONITOR_FLAG_COOK_FRAMES and MONITOR_FLAG_ACTIVE flags simultaneously on the same monitor interface from the userspace. This causes a sub-interface to be created with no IEEE80211_SDATA_IN_DRIVER bit set because the monitor interface is in the cooked state and it takes precedence over all other states. When the interface is then being deleted the kernel calls WARN_ONCE() from check_sdata_in_driver() because of missing that bit. Fix this by rejecting MONITOR_FLAG_COOK_FRAMES if it is set along with other flags. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции parse_monitor_flags() (net/wireless/nl80211.c) ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: regulatory: improve invalid hints checking Syzbot keeps reporting an issue [1] that occurs when erroneous symbols sent from userspace get through into user_alpha2[] via regulatory_hint_user() call. Such invalid regulatory hints should be rejected. While a sanity check from commit 47caf685a685 ("cfg80211: regulatory: reject invalid hints") looks to be enough to deter these very cases, there is a way to get around it due to 2 reasons. 1) The way isalpha() works, symbols other than latin lower and upper letters may be used to determine a country/domain. For instance, greek letters will also be considered upper/lower letters and for such characters isalpha() will return true as well. However, ISO-3166-1 alpha2 codes should only hold latin characters. 2) While processing a user regulatory request, between reg_process_hint_user() and regulatory_hint_user() there happens to be a call to queue_regulatory_request() which modifies letters in request->alpha2[] with toupper(). This works fine for latin symbols, less so for weird letter characters from the second part of _ctype[]. Syzbot triggers a warning in is_user_regdom_saved() by first sending over an unexpected non-latin letter that gets malformed by toupper() into a character that ends up failing isalpha() check. Prevent this by enhancing is_an_alpha2() to ensure that incoming symbols are latin letters and nothing else. [1] Syzbot report: ------------[ cut here ]------------ Unexpected user alpha2: A� WARNING: CPU: 1 PID: 964 at net/wireless/reg.c:442 is_user_regdom_saved net/wireless/reg.c:440 [inline] WARNING: CPU: 1 PID: 964 at net/wireless/reg.c:442 restore_alpha2 net/wireless/reg.c:3424 [inline] WARNING: CPU: 1 PID: 964 at net/wireless/reg.c:442 restore_regulatory_settings+0x3c0/0x1e50 net/wireless/reg.c:3516 Modules linked in: CPU: 1 UID: 0 PID: 964 Comm: kworker/1:2 Not tainted 6.12.0-rc5-syzkaller-00044-gc1e939a21eb1 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: events_power_efficient crda_timeout_work RIP: 0010:is_user_regdom_saved net/wireless/reg.c:440 [inline] RIP: 0010:restore_alpha2 net/wireless/reg.c:3424 [inline] RIP: 0010:restore_regulatory_settings+0x3c0/0x1e50 net/wireless/reg.c:3516 ... Call Trace: <TASK> crda_timeout_work+0x27/0x50 net/wireless/reg.c:542 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa65/0x1850 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f2/0x390 kernel/kthread.c:389 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Уязвимость функции is_an_alpha2() (net/wireless/reg.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: rcar: Use raw_spinlock to protect register access Use raw_spinlock in order to fix spurious messages about invalid context when spinlock debugging is enabled. The lock is only used to serialize register access. [ 4.239592] ============================= [ 4.239595] [ BUG: Invalid wait context ] [ 4.239599] 6.13.0-rc7-arm64-renesas-05496-gd088502a519f #35 Not tainted [ 4.239603] ----------------------------- [ 4.239606] kworker/u8:5/76 is trying to lock: [ 4.239609] ffff0000091898a0 (&p->lock){....}-{3:3}, at: gpio_rcar_config_interrupt_input_mode+0x34/0x164 [ 4.239641] other info that might help us debug this: [ 4.239643] context-{5:5} [ 4.239646] 5 locks held by kworker/u8:5/76: [ 4.239651] #0: ffff0000080fb148 ((wq_completion)async){+.+.}-{0:0}, at: process_one_work+0x190/0x62c [ 4.250180] OF: /soc/sound@ec500000/ports/port@0/endpoint: Read of boolean property 'frame-master' with a value. [ 4.254094] #1: ffff80008299bd80 ((work_completion)(&entry->work)){+.+.}-{0:0}, at: process_one_work+0x1b8/0x62c [ 4.254109] #2: ffff00000920c8f8 [ 4.258345] OF: /soc/sound@ec500000/ports/port@1/endpoint: Read of boolean property 'bitclock-master' with a value. [ 4.264803] (&dev->mutex){....}-{4:4}, at: __device_attach_async_helper+0x3c/0xdc [ 4.264820] #3: ffff00000a50ca40 (request_class#2){+.+.}-{4:4}, at: __setup_irq+0xa0/0x690 [ 4.264840] #4: [ 4.268872] OF: /soc/sound@ec500000/ports/port@1/endpoint: Read of boolean property 'frame-master' with a value. [ 4.273275] ffff00000a50c8c8 (lock_class){....}-{2:2}, at: __setup_irq+0xc4/0x690 [ 4.296130] renesas_sdhi_internal_dmac ee100000.mmc: mmc1 base at 0x00000000ee100000, max clock rate 200 MHz [ 4.304082] stack backtrace: [ 4.304086] CPU: 1 UID: 0 PID: 76 Comm: kworker/u8:5 Not tainted 6.13.0-rc7-arm64-renesas-05496-gd088502a519f #35 [ 4.304092] Hardware name: Renesas Salvator-X 2nd version board based on r8a77965 (DT) [ 4.304097] Workqueue: async async_run_entry_fn [ 4.304106] Call trace: [ 4.304110] show_stack+0x14/0x20 (C) [ 4.304122] dump_stack_lvl+0x6c/0x90 [ 4.304131] dump_stack+0x14/0x1c [ 4.304138] __lock_acquire+0xdfc/0x1584 [ 4.426274] lock_acquire+0x1c4/0x33c [ 4.429942] _raw_spin_lock_irqsave+0x5c/0x80 [ 4.434307] gpio_rcar_config_interrupt_input_mode+0x34/0x164 [ 4.440061] gpio_rcar_irq_set_type+0xd4/0xd8 [ 4.444422] __irq_set_trigger+0x5c/0x178 [ 4.448435] __setup_irq+0x2e4/0x690 [ 4.452012] request_threaded_irq+0xc4/0x190 [ 4.456285] devm_request_threaded_irq+0x7c/0xf4 [ 4.459398] ata1: link resume succeeded after 1 retries [ 4.460902] mmc_gpiod_request_cd_irq+0x68/0xe0 [ 4.470660] mmc_start_host+0x50/0xac [ 4.474327] mmc_add_host+0x80/0xe4 [ 4.477817] tmio_mmc_host_probe+0x2b0/0x440 [ 4.482094] renesas_sdhi_probe+0x488/0x6f4 [ 4.486281] renesas_sdhi_internal_dmac_probe+0x60/0x78 [ 4.491509] platform_probe+0x64/0xd8 [ 4.495178] really_probe+0xb8/0x2a8 [ 4.498756] __driver_probe_device+0x74/0x118 [ 4.503116] driver_probe_device+0x3c/0x154 [ 4.507303] __device_attach_driver+0xd4/0x160 [ 4.511750] bus_for_each_drv+0x84/0xe0 [ 4.515588] __device_attach_async_helper+0xb0/0xdc [ 4.520470] async_run_entry_fn+0x30/0xd8 [ 4.524481] process_one_work+0x210/0x62c [ 4.528494] worker_thread+0x1ac/0x340 [ 4.532245] kthread+0x10c/0x110 [ 4.535476] ret_from_fork+0x10/0x20 Уязвимость функций gpio_rcar_config_interrupt_input_mode(), gpio_rcar_config_general_input_output_mode(), gpio_rcar_get_multiple(), gpio_rcar_set(), gpio_rcar_set_multiple() и gpio_rcar_probe() (drivers/gpio/gpio-rcar.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/amd_nb: Use rdmsr_safe() in amd_get_mmconfig_range() Xen doesn't offer MSR_FAM10H_MMIO_CONF_BASE to all guests. This results in the following warning: unchecked MSR access error: RDMSR from 0xc0010058 at rIP: 0xffffffff8101d19f (xen_do_read_msr+0x7f/0xa0) Call Trace: xen_read_msr+0x1e/0x30 amd_get_mmconfig_range+0x2b/0x80 quirk_amd_mmconfig_area+0x28/0x100 pnp_fixup_device+0x39/0x50 __pnp_add_device+0xf/0x150 pnp_add_device+0x3d/0x100 pnpacpi_add_device_handler+0x1f9/0x280 acpi_ns_get_device_callback+0x104/0x1c0 acpi_ns_walk_namespace+0x1d0/0x260 acpi_get_devices+0x8a/0xb0 pnpacpi_init+0x50/0x80 do_one_initcall+0x46/0x2e0 kernel_init_freeable+0x1da/0x2f0 kernel_init+0x16/0x1b0 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1b/0x30 based on quirks for a "PNP0c01" device. Treating MMCFG as disabled is the right course of action, so no change is needed there. This was most likely exposed by fixing the Xen MSR accessors to not be silently-safe. Уязвимость функции amd_get_mmconfig_range() модуля arch/x86/kernel/amd_nb.c ядра операционных систем Linux связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: slimbus: messaging: Free transaction ID in delayed interrupt scenario In case of interrupt delay for any reason, slim_do_transfer() returns timeout error but the transaction ID (TID) is not freed. This results into invalid memory access inside qcom_slim_ngd_rx_msgq_cb() due to invalid TID. Fix the issue by freeing the TID in slim_do_transfer() before returning timeout error to avoid invalid memory access. Call trace: __memcpy_fromio+0x20/0x190 qcom_slim_ngd_rx_msgq_cb+0x130/0x290 [slim_qcom_ngd_ctrl] vchan_complete+0x2a0/0x4a0 tasklet_action_common+0x274/0x700 tasklet_action+0x28/0x3c _stext+0x188/0x620 run_ksoftirqd+0x34/0x74 smpboot_thread_fn+0x1d8/0x464 kthread+0x178/0x238 ret_from_fork+0x10/0x20 Code: aa0003e8 91000429 f100044a 3940002b (3800150b) ---[ end trace 0fe00bec2b975c99 ]--- Kernel panic - not syncing: Oops: Fatal exception in interrupt. Уязвимость функции slim_do_transfer() драйвера (drivers/slimbus/messaging.c) ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: atm: cxacru: fix a flaw in existing endpoint checks Syzbot once again identified a flaw in usb endpoint checking, see [1]. This time the issue stems from a commit authored by me (2eabb655a968 ("usb: atm: cxacru: fix endpoint checking in cxacru_bind()")). While using usb_find_common_endpoints() may usually be enough to discard devices with wrong endpoints, in this case one needs more than just finding and identifying the sufficient number of endpoints of correct types - one needs to check the endpoint's address as well. Since cxacru_bind() fills URBs with CXACRU_EP_CMD address in mind, switch the endpoint verification approach to usb_check_XXX_endpoints() instead to fix incomplete ep testing. [1] Syzbot report: usb 5-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 0 PID: 1378 at drivers/usb/core/urb.c:504 usb_submit_urb+0xc4e/0x18c0 drivers/usb/core/urb.c:503 ... RIP: 0010:usb_submit_urb+0xc4e/0x18c0 drivers/usb/core/urb.c:503 ... Call Trace: <TASK> cxacru_cm+0x3c8/0xe50 drivers/usb/atm/cxacru.c:649 cxacru_card_status drivers/usb/atm/cxacru.c:760 [inline] cxacru_bind+0xcf9/0x1150 drivers/usb/atm/cxacru.c:1223 usbatm_usb_probe+0x314/0x1d30 drivers/usb/atm/usbatm.c:1058 cxacru_usb_probe+0x184/0x220 drivers/usb/atm/cxacru.c:1377 usb_probe_interface+0x641/0xbb0 drivers/usb/core/driver.c:396 really_probe+0x2b9/0xad0 drivers/base/dd.c:658 __driver_probe_device+0x1a2/0x390 drivers/base/dd.c:800 driver_probe_device+0x50/0x430 drivers/base/dd.c:830 ... Уязвимость функции usb_find_common_endpoints() драйвера USB (drivers/usb/atm/cxacru.c) ядра операционных систем Linux связана с недостаточной проверкой входных данных при обработке конечных точек. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: renesas_usbhs: Flush the notify_hotplug_work When performing continuous unbind/bind operations on the USB drivers available on the Renesas RZ/G2L SoC, a kernel crash with the message "Unable to handle kernel NULL pointer dereference at virtual address" may occur. This issue points to the usbhsc_notify_hotplug() function. Flush the delayed work to avoid its execution when driver resources are unavailable. Уязвимость функции usbhsc_notify_hotplug() драйвера USB (drivers/usb/renesas_usbhs/common.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: Fix NULL pointer access Resources should be released only after all threads that utilize them have been destroyed. This commit ensures that resources are not released prematurely by waiting for the associated workqueue to complete before deallocating them. Уязвимость драйвера USB (drivers/usb/typec/ucsi/ucsi.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppp: Fix KMSAN uninit-value warning with bpf Syzbot caught an "KMSAN: uninit-value" warning [1], which is caused by the ppp driver not initializing a 2-byte header when using socket filter. The following code can generate a PPP filter BPF program: ''' struct bpf_program fp; pcap_t *handle; handle = pcap_open_dead(DLT_PPP_PPPD, 65535); pcap_compile(handle, &fp, "ip and outbound", 0, 0); bpf_dump(&fp, 1); ''' Its output is: ''' (000) ldh [2] (001) jeq #0x21 jt 2 jf 5 (002) ldb [0] (003) jeq #0x1 jt 4 jf 5 (004) ret #65535 (005) ret #0 ''' Wen can find similar code at the following link: https://github.com/ppp-project/ppp/blob/master/pppd/options.c#L1680 The maintainer of this code repository is also the original maintainer of the ppp driver. As you can see the BPF program skips 2 bytes of data and then reads the 'Protocol' field to determine if it's an IP packet. Then it read the first byte of the first 2 bytes to determine the direction. The issue is that only the first byte indicating direction is initialized in current ppp driver code while the second byte is not initialized. For normal BPF programs generated by libpcap, uninitialized data won't be used, so it's not a problem. However, for carefully crafted BPF programs, such as those generated by syzkaller [2], which start reading from offset 0, the uninitialized data will be used and caught by KMSAN. [1] https://syzkaller.appspot.com/bug?extid=853242d9c9917165d791 [2] https://syzkaller.appspot.com/text?tag=ReproC&x=11994913980000 Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: make sure ptp clock is unregister and freed if hclge_ptp_get_cycle returns an error During the initialization of ptp, hclge_ptp_get_cycle might return an error and returned directly without unregister clock and free it. To avoid that, call hclge_ptp_destroy_clock to unregist and free clock if hclge_ptp_get_cycle failed. Уязвимость функции hclge_ptp_get_cycle() ядра операционной системы Linux связана с неверной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: llc: do not use skb_get() before dev_queue_xmit() syzbot is able to crash hosts [1], using llc and devices not supporting IFF_TX_SKB_SHARING. In this case, e1000 driver calls eth_skb_pad(), while the skb is shared. Simply replace skb_get() by skb_clone() in net/llc/llc_s_ac.c Note that e1000 driver might have an issue with pktgen, because it does not clear IFF_TX_SKB_SHARING, this is an orthogonal change. We need to audit other skb_get() uses in net/llc. [1] kernel BUG at net/core/skbuff.c:2178 ! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 0 UID: 0 PID: 16371 Comm: syz.2.2764 Not tainted 6.14.0-rc4-syzkaller-00052-gac9c34d1e45a #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:pskb_expand_head+0x6ce/0x1240 net/core/skbuff.c:2178 Call Trace: <TASK> __skb_pad+0x18a/0x610 net/core/skbuff.c:2466 __skb_put_padto include/linux/skbuff.h:3843 [inline] skb_put_padto include/linux/skbuff.h:3862 [inline] eth_skb_pad include/linux/etherdevice.h:656 [inline] e1000_xmit_frame+0x2d99/0x5800 drivers/net/ethernet/intel/e1000/e1000_main.c:3128 __netdev_start_xmit include/linux/netdevice.h:5151 [inline] netdev_start_xmit include/linux/netdevice.h:5160 [inline] xmit_one net/core/dev.c:3806 [inline] dev_hard_start_xmit+0x9a/0x7b0 net/core/dev.c:3822 sch_direct_xmit+0x1ae/0xc30 net/sched/sch_generic.c:343 __dev_xmit_skb net/core/dev.c:4045 [inline] __dev_queue_xmit+0x13d4/0x43e0 net/core/dev.c:4621 dev_queue_xmit include/linux/netdevice.h:3313 [inline] llc_sap_action_send_test_c+0x268/0x320 net/llc/llc_s_ac.c:144 llc_exec_sap_trans_actions net/llc/llc_sap.c:153 [inline] llc_sap_next_state net/llc/llc_sap.c:182 [inline] llc_sap_state_process+0x239/0x510 net/llc/llc_sap.c:209 llc_ui_sendmsg+0xd0d/0x14e0 net/llc/af_llc.c:993 sock_sendmsg_nosec net/socket.c:718 [inline] Уязвимость функции skb_get() ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: gso: fix ownership in __udp_gso_segment In __udp_gso_segment the skb destructor is removed before segmenting the skb but the socket reference is kept as-is. This is an issue if the original skb is later orphaned as we can hit the following bug: kernel BUG at ./include/linux/skbuff.h:3312! (skb_orphan) RIP: 0010:ip_rcv_core+0x8b2/0xca0 Call Trace: ip_rcv+0xab/0x6e0 __netif_receive_skb_one_core+0x168/0x1b0 process_backlog+0x384/0x1100 __napi_poll.constprop.0+0xa1/0x370 net_rx_action+0x925/0xe50 The above can happen following a sequence of events when using OpenVSwitch, when an OVS_ACTION_ATTR_USERSPACE action precedes an OVS_ACTION_ATTR_OUTPUT action: 1. OVS_ACTION_ATTR_USERSPACE is handled (in do_execute_actions): the skb goes through queue_gso_packets and then __udp_gso_segment, where its destructor is removed. 2. The segments' data are copied and sent to userspace. 3. OVS_ACTION_ATTR_OUTPUT is handled (in do_execute_actions) and the same original skb is sent to its path. 4. If it later hits skb_orphan, we hit the bug. Fix this by also removing the reference to the socket in __udp_gso_segment. Уязвимость функции __udp_gso_segment() ядра операционной системы Linux связана с некорректной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwpoison, memory_hotplug: lock folio before unmap hwpoisoned folio Commit b15c87263a69 ("hwpoison, memory_hotplug: allow hwpoisoned pages to be offlined) add page poison checks in do_migrate_range in order to make offline hwpoisoned page possible by introducing isolate_lru_page and try_to_unmap for hwpoisoned page. However folio lock must be held before calling try_to_unmap. Add it to fix this problem. Warning will be produced if folio is not locked during unmap: ------------[ cut here ]------------ kernel BUG at ./include/linux/swapops.h:400! Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP Modules linked in: CPU: 4 UID: 0 PID: 411 Comm: bash Tainted: G W 6.13.0-rc1-00016-g3c434c7ee82a-dirty #41 Tainted: [W]=WARN Hardware name: QEMU QEMU Virtual Machine, BIOS 0.0.0 02/06/2015 pstate: 40400005 (nZcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : try_to_unmap_one+0xb08/0xd3c lr : try_to_unmap_one+0x3dc/0xd3c Call trace: try_to_unmap_one+0xb08/0xd3c (P) try_to_unmap_one+0x3dc/0xd3c (L) rmap_walk_anon+0xdc/0x1f8 rmap_walk+0x3c/0x58 try_to_unmap+0x88/0x90 unmap_poisoned_folio+0x30/0xa8 do_migrate_range+0x4a0/0x568 offline_pages+0x5a4/0x670 memory_block_action+0x17c/0x374 memory_subsys_offline+0x3c/0x78 device_offline+0xa4/0xd0 state_store+0x8c/0xf0 dev_attr_store+0x18/0x2c sysfs_kf_write+0x44/0x54 kernfs_fop_write_iter+0x118/0x1a8 vfs_write+0x3a8/0x4bc ksys_write+0x6c/0xf8 __arm64_sys_write+0x1c/0x28 invoke_syscall+0x44/0x100 el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x30/0xd0 el0t_64_sync_handler+0xc8/0xcc el0t_64_sync+0x198/0x19c Code: f9407be0 b5fff320 d4210000 17ffff97 (d4210000) ---[ end trace 0000000000000000 ]--- Уязвимость компонента memory_hotplug ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rapidio: add check for rio_add_net() in rio_scan_alloc_net() The return value of rio_add_net() should be checked. If it fails, put_device() should be called to free the memory and give up the reference initialized in rio_add_net(). Уязвимость функции rio_add_net() модуля drivers/rapidio/rio-scan.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Add check for mgmt_alloc_skb() in mgmt_device_connected() Add check for the return value of mgmt_alloc_skb() in mgmt_device_connected() to prevent null pointer dereference. Уязвимость функции mgmt_alloc_skb() модуля net/bluetooth/mgmt.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Add check for mgmt_alloc_skb() in mgmt_remote_name() Add check for the return value of mgmt_alloc_skb() in mgmt_remote_name() to prevent null pointer dereference. Уязвимость функции mgmt_alloc_skb() модуля net/bluetooth/mgmt.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix 'scheduling while atomic' in mptcp_pm_nl_append_new_local_addr If multiple connection requests attempt to create an implicit mptcp endpoint in parallel, more than one caller may end up in mptcp_pm_nl_append_new_local_addr because none found the address in local_addr_list during their call to mptcp_pm_nl_get_local_id. In this case, the concurrent new_local_addr calls may delete the address entry created by the previous caller. These deletes use synchronize_rcu, but this is not permitted in some of the contexts where this function may be called. During packet recv, the caller may be in a rcu read critical section and have preemption disabled. An example stack: BUG: scheduling while atomic: swapper/2/0/0x00000302 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:117 (discriminator 1)) dump_stack (lib/dump_stack.c:124) __schedule_bug (kernel/sched/core.c:5943) schedule_debug.constprop.0 (arch/x86/include/asm/preempt.h:33 kernel/sched/core.c:5970) __schedule (arch/x86/include/asm/jump_label.h:27 include/linux/jump_label.h:207 kernel/sched/features.h:29 kernel/sched/core.c:6621) schedule (arch/x86/include/asm/preempt.h:84 kernel/sched/core.c:6804 kernel/sched/core.c:6818) schedule_timeout (kernel/time/timer.c:2160) wait_for_completion (kernel/sched/completion.c:96 kernel/sched/completion.c:116 kernel/sched/completion.c:127 kernel/sched/completion.c:148) __wait_rcu_gp (include/linux/rcupdate.h:311 kernel/rcu/update.c:444) synchronize_rcu (kernel/rcu/tree.c:3609) mptcp_pm_nl_append_new_local_addr (net/mptcp/pm_netlink.c:966 net/mptcp/pm_netlink.c:1061) mptcp_pm_nl_get_local_id (net/mptcp/pm_netlink.c:1164) mptcp_pm_get_local_id (net/mptcp/pm.c:420) subflow_check_req (net/mptcp/subflow.c:98 net/mptcp/subflow.c:213) subflow_v4_route_req (net/mptcp/subflow.c:305) tcp_conn_request (net/ipv4/tcp_input.c:7216) subflow_v4_conn_request (net/mptcp/subflow.c:651) tcp_rcv_state_process (net/ipv4/tcp_input.c:6709) tcp_v4_do_rcv (net/ipv4/tcp_ipv4.c:1934) tcp_v4_rcv (net/ipv4/tcp_ipv4.c:2334) ip_protocol_deliver_rcu (net/ipv4/ip_input.c:205 (discriminator 1)) ip_local_deliver_finish (include/linux/rcupdate.h:813 net/ipv4/ip_input.c:234) ip_local_deliver (include/linux/netfilter.h:314 include/linux/netfilter.h:308 net/ipv4/ip_input.c:254) ip_sublist_rcv_finish (include/net/dst.h:461 net/ipv4/ip_input.c:580) ip_sublist_rcv (net/ipv4/ip_input.c:640) ip_list_rcv (net/ipv4/ip_input.c:675) __netif_receive_skb_list_core (net/core/dev.c:5583 net/core/dev.c:5631) netif_receive_skb_list_internal (net/core/dev.c:5685 net/core/dev.c:5774) napi_complete_done (include/linux/list.h:37 include/net/gro.h:449 include/net/gro.h:444 net/core/dev.c:6114) igb_poll (drivers/net/ethernet/intel/igb/igb_main.c:8244) igb __napi_poll (net/core/dev.c:6582) net_rx_action (net/core/dev.c:6653 net/core/dev.c:6787) handle_softirqs (kernel/softirq.c:553) __irq_exit_rcu (kernel/softirq.c:588 kernel/softirq.c:427 kernel/softirq.c:636) irq_exit_rcu (kernel/softirq.c:651) common_interrupt (arch/x86/kernel/irq.c:247 (discriminator 14)) </IRQ> This problem seems particularly prevalent if the user advertises an endpoint that has a different external vs internal address. In the case where the external address is advertised and multiple connections already exist, multiple subflow SYNs arrive in parallel which tends to trigger the race during creation of the first local_addr_list entries which have the internal address instead. Fix by skipping the replacement of an existing implicit local address if called via mptcp_pm_nl_get_local_id. Уязвимость функции mptcp_pm_nl_append_new_local_addr() модуля net/mptcp/pm_netlink.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix null check for pipe_ctx->plane_state in resource_build_scaling_params Null pointer dereference issue could occur when pipe_ctx->plane_state is null. The fix adds a check to ensure 'pipe_ctx->plane_state' is not null before accessing. This prevents a null pointer dereference. Found by code review. (cherry picked from commit 63e6a77ccf239337baa9b1e7787cde9fa0462092) Уязвимость функции resource_build_scaling_params() модуля drivers/gpu/drm/amd/display/dc/core/dc_resource.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: aggregator: protect driver attr handlers against module unload Both new_device_store and delete_device_store touch module global resources (e.g. gpio_aggregator_lock). To prevent race conditions with module unload, a reference needs to be held. Add try_module_get() in these handlers. For new_device_store, this eliminates what appears to be the most dangerous scenario: if an id is allocated from gpio_aggregator_idr but platform_device_register has not yet been called or completed, a concurrent module unload could fail to unregister/delete the device, leaving behind a dangling platform device/GPIO forwarder. This can result in various issues. The following simple reproducer demonstrates these problems: #!/bin/bash while :; do # note: whether 'gpiochip0 0' exists or not does not matter. echo 'gpiochip0 0' > /sys/bus/platform/drivers/gpio-aggregator/new_device done & while :; do modprobe gpio-aggregator modprobe -r gpio-aggregator done & wait Starting with the following warning, several kinds of warnings will appear and the system may become unstable: ------------[ cut here ]------------ list_del corruption, ffff888103e2e980->next is LIST_POISON1 (dead000000000100) WARNING: CPU: 1 PID: 1327 at lib/list_debug.c:56 __list_del_entry_valid_or_report+0xa3/0x120 [...] RIP: 0010:__list_del_entry_valid_or_report+0xa3/0x120 [...] Call Trace: <TASK> ? __list_del_entry_valid_or_report+0xa3/0x120 ? __warn.cold+0x93/0xf2 ? __list_del_entry_valid_or_report+0xa3/0x120 ? report_bug+0xe6/0x170 ? __irq_work_queue_local+0x39/0xe0 ? handle_bug+0x58/0x90 ? exc_invalid_op+0x13/0x60 ? asm_exc_invalid_op+0x16/0x20 ? __list_del_entry_valid_or_report+0xa3/0x120 gpiod_remove_lookup_table+0x22/0x60 new_device_store+0x315/0x350 [gpio_aggregator] kernfs_fop_write_iter+0x137/0x1f0 vfs_write+0x262/0x430 ksys_write+0x60/0xd0 do_syscall_64+0x6c/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] </TASK> ---[ end trace 0000000000000000 ]--- Уязвимость модуля drivers/gpio/gpio-aggregator.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix bug on trap in smb2_lock If lock count is greater than 1, flags could be old value. It should be checked with flags of smb_lock, not flags. It will cause bug-on trap from locks_free_lock in error handling routine. Уязвимость функции smb2_lock() модуля fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix type confusion via race condition when using ipc_msg_send_request req->handle is allocated using ksmbd_acquire_id(&ipc_ida), based on ida_alloc. req->handle from ksmbd_ipc_login_request and FSCTL_PIPE_TRANSCEIVE ioctl can be same and it could lead to type confusion between messages, resulting in access to unexpected parts of memory after an incorrect delivery. ksmbd check type of ipc response but missing add continue to check next ipc reponse. Уязвимость функции ipc_msg_send_request() модуля fs/smb/server/transport_ipc.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: appleir: Fix potential NULL dereference at raw event handle Syzkaller reports a NULL pointer dereference issue in input_event(). BUG: KASAN: null-ptr-deref in instrument_atomic_read include/linux/instrumented.h:68 [inline] BUG: KASAN: null-ptr-deref in _test_bit include/asm-generic/bitops/instrumented-non-atomic.h:141 [inline] BUG: KASAN: null-ptr-deref in is_event_supported drivers/input/input.c:67 [inline] BUG: KASAN: null-ptr-deref in input_event+0x42/0xa0 drivers/input/input.c:395 Read of size 8 at addr 0000000000000028 by task syz-executor199/2949 CPU: 0 UID: 0 PID: 2949 Comm: syz-executor199 Not tainted 6.13.0-rc4-syzkaller-00076-gf097a36ef88d #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 kasan_report+0xd9/0x110 mm/kasan/report.c:602 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0xef/0x1a0 mm/kasan/generic.c:189 instrument_atomic_read include/linux/instrumented.h:68 [inline] _test_bit include/asm-generic/bitops/instrumented-non-atomic.h:141 [inline] is_event_supported drivers/input/input.c:67 [inline] input_event+0x42/0xa0 drivers/input/input.c:395 input_report_key include/linux/input.h:439 [inline] key_down drivers/hid/hid-appleir.c:159 [inline] appleir_raw_event+0x3e5/0x5e0 drivers/hid/hid-appleir.c:232 __hid_input_report.constprop.0+0x312/0x440 drivers/hid/hid-core.c:2111 hid_ctrl+0x49f/0x550 drivers/hid/usbhid/hid-core.c:484 __usb_hcd_giveback_urb+0x389/0x6e0 drivers/usb/core/hcd.c:1650 usb_hcd_giveback_urb+0x396/0x450 drivers/usb/core/hcd.c:1734 dummy_timer+0x17f7/0x3960 drivers/usb/gadget/udc/dummy_hcd.c:1993 __run_hrtimer kernel/time/hrtimer.c:1739 [inline] __hrtimer_run_queues+0x20a/0xae0 kernel/time/hrtimer.c:1803 hrtimer_run_softirq+0x17d/0x350 kernel/time/hrtimer.c:1820 handle_softirqs+0x206/0x8d0 kernel/softirq.c:561 __do_softirq kernel/softirq.c:595 [inline] invoke_softirq kernel/softirq.c:435 [inline] __irq_exit_rcu+0xfa/0x160 kernel/softirq.c:662 irq_exit_rcu+0x9/0x30 kernel/softirq.c:678 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1049 [inline] sysvec_apic_timer_interrupt+0x90/0xb0 arch/x86/kernel/apic/apic.c:1049 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 arch/x86/include/asm/idtentry.h:702 __mod_timer+0x8f6/0xdc0 kernel/time/timer.c:1185 add_timer+0x62/0x90 kernel/time/timer.c:1295 schedule_timeout+0x11f/0x280 kernel/time/sleep_timeout.c:98 usbhid_wait_io+0x1c7/0x380 drivers/hid/usbhid/hid-core.c:645 usbhid_init_reports+0x19f/0x390 drivers/hid/usbhid/hid-core.c:784 hiddev_ioctl+0x1133/0x15b0 drivers/hid/usbhid/hiddev.c:794 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x190/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> This happens due to the malformed report items sent by the emulated device which results in a report, that has no fields, being added to the report list. Due to this appleir_input_configured() is never called, hidinput_connect() fails which results in the HID_CLAIMED_INPUT flag is not being set. However, it does not make appleir_probe() fail and lets the event callback to be called without the associated input device. Thus, add a check for the HID_CLAIMED_INPUT flag and leave the event hook early if the driver didn't claim any input_dev for some reason. Moreover, some other hid drivers accessing input_dev in their event callbacks do have similar checks, too. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции input_event() модуля drivers/hid/hid-appleir.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers: virt: acrn: hsm: Use kzalloc to avoid info leak in pmcmd_ioctl In the "pmcmd_ioctl" function, three memory objects allocated by kmalloc are initialized by "hcall_get_cpu_state", which are then copied to user space. The initializer is indeed implemented in "acrn_hypercall2" (arch/x86/include/asm/acrn.h). There is a risk of information leakage due to uninitialized bytes. Уязвимость компонента hsm ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: host: pci_generic: Use pci_try_reset_function() to avoid deadlock There are multiple places from where the recovery work gets scheduled asynchronously. Also, there are multiple places where the caller waits synchronously for the recovery to be completed. One such place is during the PM shutdown() callback. If the device is not alive during recovery_work, it will try to reset the device using pci_reset_function(). This function internally will take the device_lock() first before resetting the device. By this time, if the lock has already been acquired, then recovery_work will get stalled while waiting for the lock. And if the lock was already acquired by the caller which waits for the recovery_work to be completed, it will lead to deadlock. This is what happened on the X1E80100 CRD device when the device died before shutdown() callback. Driver core calls the driver's shutdown() callback while holding the device_lock() leading to deadlock. And this deadlock scenario can occur on other paths as well, like during the PM suspend() callback, where the driver core would hold the device_lock() before calling driver's suspend() callback. And if the recovery_work was already started, it could lead to deadlock. This is also observed on the X1E80100 CRD. So to fix both issues, use pci_try_reset_function() in recovery_work. This function first checks for the availability of the device_lock() before trying to reset the device. If the lock is available, it will acquire it and reset the device. Otherwise, it will return -EAGAIN. If that happens, recovery_work will fail with the error message "Recovery failed" as not much could be done. Уязвимость компонента mhi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Assign normalized_pix_clk when color depth = 14 [WHY & HOW] A warning message "WARNING: CPU: 4 PID: 459 at ... /dc_resource.c:3397 calculate_phy_pix_clks+0xef/0x100 [amdgpu]" occurs because the display_color_depth == COLOR_DEPTH_141414 is not handled. This is observed in Radeon RX 6600 XT. It is fixed by assigning pix_clk * (14 * 3) / 24 - same as the rests. Also fixes the indentation in get_norm_pix_clk. (cherry picked from commit 274a87eb389f58eddcbc5659ab0b180b37e92775) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla1280: Fix kernel oops when debug level > 2 A null dereference or oops exception will eventually occur when qla1280.c driver is compiled with DEBUG_QLA1280 enabled and ql_debug_level > 2. I think its clear from the code that the intention here is sg_dma_len(s) not length of sg_next(s) when printing the debug info. Уязвимость компонента qla1280.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: Fully initialize struct nf_conncount_tuple in insert_tree() Since commit b36e4523d4d5 ("netfilter: nf_conncount: fix garbage collection confirm race"), `cpu` and `jiffies32` were introduced to the struct nf_conncount_tuple. The commit made nf_conncount_add() initialize `conn->cpu` and `conn->jiffies32` when allocating the struct. In contrast, count_tree() was not changed to initialize them. By commit 34848d5c896e ("netfilter: nf_conncount: Split insert and traversal"), count_tree() was split and the relevant allocation code now resides in insert_tree(). Initialize `conn->cpu` and `conn->jiffies32` in insert_tree(). BUG: KMSAN: uninit-value in find_or_evict net/netfilter/nf_conncount.c:117 [inline] BUG: KMSAN: uninit-value in __nf_conncount_add+0xd9c/0x2850 net/netfilter/nf_conncount.c:143 find_or_evict net/netfilter/nf_conncount.c:117 [inline] __nf_conncount_add+0xd9c/0x2850 net/netfilter/nf_conncount.c:143 count_tree net/netfilter/nf_conncount.c:438 [inline] nf_conncount_count+0x82f/0x1e80 net/netfilter/nf_conncount.c:521 connlimit_mt+0x7f6/0xbd0 net/netfilter/xt_connlimit.c:72 __nft_match_eval net/netfilter/nft_compat.c:403 [inline] nft_match_eval+0x1a5/0x300 net/netfilter/nft_compat.c:433 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x426/0x2290 net/netfilter/nf_tables_core.c:288 nft_do_chain_ipv4+0x1a5/0x230 net/netfilter/nft_chain_filter.c:23 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook_slow_list+0x24d/0x860 net/netfilter/core.c:663 NF_HOOK_LIST include/linux/netfilter.h:350 [inline] ip_sublist_rcv+0x17b7/0x17f0 net/ipv4/ip_input.c:633 ip_list_rcv+0x9ef/0xa40 net/ipv4/ip_input.c:669 __netif_receive_skb_list_ptype net/core/dev.c:5936 [inline] __netif_receive_skb_list_core+0x15c5/0x1670 net/core/dev.c:5983 __netif_receive_skb_list net/core/dev.c:6035 [inline] netif_receive_skb_list_internal+0x1085/0x1700 net/core/dev.c:6126 netif_receive_skb_list+0x5a/0x460 net/core/dev.c:6178 xdp_recv_frames net/bpf/test_run.c:280 [inline] xdp_test_run_batch net/bpf/test_run.c:361 [inline] bpf_test_run_xdp_live+0x2e86/0x3480 net/bpf/test_run.c:390 bpf_prog_test_run_xdp+0xf1d/0x1ae0 net/bpf/test_run.c:1316 bpf_prog_test_run+0x5e5/0xa30 kernel/bpf/syscall.c:4407 __sys_bpf+0x6aa/0xd90 kernel/bpf/syscall.c:5813 __do_sys_bpf kernel/bpf/syscall.c:5902 [inline] __se_sys_bpf kernel/bpf/syscall.c:5900 [inline] __ia32_sys_bpf+0xa0/0xe0 kernel/bpf/syscall.c:5900 ia32_sys_call+0x394d/0x4180 arch/x86/include/generated/asm/syscalls_32.h:358 do_syscall_32_irqs_on arch/x86/entry/common.c:165 [inline] __do_fast_syscall_32+0xb0/0x110 arch/x86/entry/common.c:387 do_fast_syscall_32+0x38/0x80 arch/x86/entry/common.c:412 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/common.c:450 entry_SYSENTER_compat_after_hwframe+0x84/0x8e Uninit was created at: slab_post_alloc_hook mm/slub.c:4121 [inline] slab_alloc_node mm/slub.c:4164 [inline] kmem_cache_alloc_noprof+0x915/0xe10 mm/slub.c:4171 insert_tree net/netfilter/nf_conncount.c:372 [inline] count_tree net/netfilter/nf_conncount.c:450 [inline] nf_conncount_count+0x1415/0x1e80 net/netfilter/nf_conncount.c:521 connlimit_mt+0x7f6/0xbd0 net/netfilter/xt_connlimit.c:72 __nft_match_eval net/netfilter/nft_compat.c:403 [inline] nft_match_eval+0x1a5/0x300 net/netfilter/nft_compat.c:433 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x426/0x2290 net/netfilter/nf_tables_core.c:288 nft_do_chain_ipv4+0x1a5/0x230 net/netfilter/nft_chain_filter.c:23 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook_slow_list+0x24d/0x860 net/netfilter/core.c:663 NF_HOOK_LIST include/linux/netfilter.h:350 [inline] ip_sublist_rcv+0x17b7/0x17f0 net/ipv4/ip_input.c:633 ip_list_rcv+0x9ef/0xa40 net/ip ---truncated--- Уязвимость компонента nf_conncount ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Bridge, fix the crash caused by LAG state check When removing LAG device from bridge, NETDEV_CHANGEUPPER event is triggered. Driver finds the lower devices (PFs) to flush all the offloaded entries. And mlx5_lag_is_shared_fdb is checked, it returns false if one of PF is unloaded. In such case, mlx5_esw_bridge_lag_rep_get() and its caller return NULL, instead of the alive PF, and the flush is skipped. Besides, the bridge fdb entry's lastuse is updated in mlx5 bridge event handler. But this SWITCHDEV_FDB_ADD_TO_BRIDGE event can be ignored in this case because the upper interface for bond is deleted, and the entry will never be aged because lastuse is never updated. To make things worse, as the entry is alive, mlx5 bridge workqueue keeps sending that event, which is then handled by kernel bridge notifier. It causes the following crash when accessing the passed bond netdev which is already destroyed. To fix this issue, remove such checks. LAG state is already checked in commit 15f8f168952f ("net/mlx5: Bridge, verify LAG state when adding bond to bridge"), driver still need to skip offload if LAG becomes invalid state after initialization. Oops: stack segment: 0000 [#1] SMP CPU: 3 UID: 0 PID: 23695 Comm: kworker/u40:3 Tainted: G OE 6.11.0_mlnx #1 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 Workqueue: mlx5_bridge_wq mlx5_esw_bridge_update_work [mlx5_core] RIP: 0010:br_switchdev_event+0x2c/0x110 [bridge] Code: 44 00 00 48 8b 02 48 f7 00 00 02 00 00 74 69 41 54 55 53 48 83 ec 08 48 8b a8 08 01 00 00 48 85 ed 74 4a 48 83 fe 02 48 89 d3 <4c> 8b 65 00 74 23 76 49 48 83 fe 05 74 7e 48 83 fe 06 75 2f 0f b7 RSP: 0018:ffffc900092cfda0 EFLAGS: 00010297 RAX: ffff888123bfe000 RBX: ffffc900092cfe08 RCX: 00000000ffffffff RDX: ffffc900092cfe08 RSI: 0000000000000001 RDI: ffffffffa0c585f0 RBP: 6669746f6e690a30 R08: 0000000000000000 R09: ffff888123ae92c8 R10: 0000000000000000 R11: fefefefefefefeff R12: ffff888123ae9c60 R13: 0000000000000001 R14: ffffc900092cfe08 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff88852c980000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f15914c8734 CR3: 0000000002830005 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die_body+0x1a/0x60 ? die+0x38/0x60 ? do_trap+0x10b/0x120 ? do_error_trap+0x64/0xa0 ? exc_stack_segment+0x33/0x50 ? asm_exc_stack_segment+0x22/0x30 ? br_switchdev_event+0x2c/0x110 [bridge] ? sched_balance_newidle.isra.149+0x248/0x390 notifier_call_chain+0x4b/0xa0 atomic_notifier_call_chain+0x16/0x20 mlx5_esw_bridge_update+0xec/0x170 [mlx5_core] mlx5_esw_bridge_update_work+0x19/0x40 [mlx5_core] process_scheduled_works+0x81/0x390 worker_thread+0x106/0x250 ? bh_worker+0x110/0x110 kthread+0xb7/0xe0 ? kthread_park+0x80/0x80 ret_from_fork+0x2d/0x50 ? kthread_park+0x80/0x80 ret_from_fork_asm+0x11/0x20 </TASK> Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: Prevent creation of classes with TC_H_ROOT The function qdisc_tree_reduce_backlog() uses TC_H_ROOT as a termination condition when traversing up the qdisc tree to update parent backlog counters. However, if a class is created with classid TC_H_ROOT, the traversal terminates prematurely at this class instead of reaching the actual root qdisc, causing parent statistics to be incorrectly maintained. In case of DRR, this could lead to a crash as reported by Mingi Cho. Prevent the creation of any Qdisc class with classid TC_H_ROOT (0xFFFFFFFF) across all qdisc types, as suggested by Jamal. Уязвимость компонента net_sched ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: handle errors in mlx5_chains_create_table() In mlx5_chains_create_table(), the return value of mlx5_get_fdb_sub_ns() and mlx5_get_flow_namespace() must be checked to prevent NULL pointer dereferences. If either function fails, the function should log error message with mlx5_core_warn() and return error pointer. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched: address a potential NULL pointer dereference in the GRED scheduler. If kzalloc in gred_init returns a NULL pointer, the code follows the error handling path, invoking gred_destroy. This, in turn, calls gred_offload, where memset could receive a NULL pointer as input, potentially leading to a kernel crash. When table->opt is NULL in gred_init(), gred_change_table_def() is not called yet, so it is not necessary to call ->ndo_setup_tc() in gred_offload(). Уязвимость компонента sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xsk: fix an integer overflow in xp_create_and_assign_umem() Since the i and pool->chunk_size variables are of type 'u32', their product can wrap around and then be cast to 'u64'. This can lead to two different XDP buffers pointing to the same memory area. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента xsk ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix memleak of nhc_pcpu_rth_output in fib_check_nh_v6_gw(). fib_check_nh_v6_gw() expects that fib6_nh_init() cleans up everything when it fails. Commit 7dd73168e273 ("ipv6: Always allocate pcpu memory in a fib6_nh") moved fib_nh_common_init() before alloc_percpu_gfp() within fib6_nh_init() but forgot to add cleanup for fib6_nh->nh_common.nhc_pcpu_rth_output in case it fails to allocate fib6_nh->rt6i_pcpu, resulting in memleak. Let's call fib_nh_common_release() and clear nhc_pcpu_rth_output in the error path. Note that we can remove the fib6_nh_release() call in nh_create_ipv6() later in net-next.git. Уязвимость функции fib_check_nh_v6_gw() ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix error code in chan_alloc_skb_cb() The chan_alloc_skb_cb() function is supposed to return error pointers on error. Returning NULL will lead to a NULL dereference. Уязвимость компонента Bluetooth ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix soft lockup during bt pages loop Driver runs a for-loop when allocating bt pages and mapping them with buffer pages. When a large buffer (e.g. MR over 100GB) is being allocated, it may require a considerable loop count. This will lead to soft lockup: watchdog: BUG: soft lockup - CPU#27 stuck for 22s! ... Call trace: hem_list_alloc_mid_bt+0x124/0x394 [hns_roce_hw_v2] hns_roce_hem_list_request+0xf8/0x160 [hns_roce_hw_v2] hns_roce_mtr_create+0x2e4/0x360 [hns_roce_hw_v2] alloc_mr_pbl+0xd4/0x17c [hns_roce_hw_v2] hns_roce_reg_user_mr+0xf8/0x190 [hns_roce_hw_v2] ib_uverbs_reg_mr+0x118/0x290 watchdog: BUG: soft lockup - CPU#35 stuck for 23s! ... Call trace: hns_roce_hem_list_find_mtt+0x7c/0xb0 [hns_roce_hw_v2] mtr_map_bufs+0xc4/0x204 [hns_roce_hw_v2] hns_roce_mtr_create+0x31c/0x3c4 [hns_roce_hw_v2] alloc_mr_pbl+0xb0/0x160 [hns_roce_hw_v2] hns_roce_reg_user_mr+0x108/0x1c0 [hns_roce_hw_v2] ib_uverbs_reg_mr+0x120/0x2bc Add a cond_resched() to fix soft lockup during these loops. In order not to affect the allocation performance of normal-size buffer, set the loop count of a 100GB MR as the threshold to call cond_resched(). Уязвимость компонента RDMA/hns ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: Fix NULL pointer dereference When MPOA_cache_impos_rcvd() receives the msg, it can trigger Null Pointer Dereference Vulnerability if both entry and holding_time are NULL. Because there is only for the situation where entry is NULL and holding_time exists, it can be passed when both entry and holding_time are NULL. If these are NULL, the entry will be passd to eg_cache_put() as parameter and it is referenced by entry->use code in it. kasan log: [ 3.316691] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000006:I [ 3.317568] KASAN: null-ptr-deref in range [0x0000000000000030-0x0000000000000037] [ 3.318188] CPU: 3 UID: 0 PID: 79 Comm: ex Not tainted 6.14.0-rc2 #102 [ 3.318601] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 [ 3.319298] RIP: 0010:eg_cache_remove_entry+0xa5/0x470 [ 3.319677] Code: c1 f7 6e fd 48 c7 c7 00 7e 38 b2 e8 95 64 54 fd 48 c7 c7 40 7e 38 b2 48 89 ee e80 [ 3.321220] RSP: 0018:ffff88800583f8a8 EFLAGS: 00010006 [ 3.321596] RAX: 0000000000000006 RBX: ffff888005989000 RCX: ffffffffaecc2d8e [ 3.322112] RDX: 0000000000000000 RSI: 0000000000000004 RDI: 0000000000000030 [ 3.322643] RBP: 0000000000000000 R08: 0000000000000000 R09: fffffbfff6558b88 [ 3.323181] R10: 0000000000000003 R11: 203a207972746e65 R12: 1ffff11000b07f15 [ 3.323707] R13: dffffc0000000000 R14: ffff888005989000 R15: ffff888005989068 [ 3.324185] FS: 000000001b6313c0(0000) GS:ffff88806d380000(0000) knlGS:0000000000000000 [ 3.325042] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 3.325545] CR2: 00000000004b4b40 CR3: 000000000248e000 CR4: 00000000000006f0 [ 3.326430] Call Trace: [ 3.326725] <TASK> [ 3.326927] ? die_addr+0x3c/0xa0 [ 3.327330] ? exc_general_protection+0x161/0x2a0 [ 3.327662] ? asm_exc_general_protection+0x26/0x30 [ 3.328214] ? vprintk_emit+0x15e/0x420 [ 3.328543] ? eg_cache_remove_entry+0xa5/0x470 [ 3.328910] ? eg_cache_remove_entry+0x9a/0x470 [ 3.329294] ? __pfx_eg_cache_remove_entry+0x10/0x10 [ 3.329664] ? console_unlock+0x107/0x1d0 [ 3.329946] ? __pfx_console_unlock+0x10/0x10 [ 3.330283] ? do_syscall_64+0xa6/0x1a0 [ 3.330584] ? entry_SYSCALL_64_after_hwframe+0x47/0x7f [ 3.331090] ? __pfx_prb_read_valid+0x10/0x10 [ 3.331395] ? down_trylock+0x52/0x80 [ 3.331703] ? vprintk_emit+0x15e/0x420 [ 3.331986] ? __pfx_vprintk_emit+0x10/0x10 [ 3.332279] ? down_trylock+0x52/0x80 [ 3.332527] ? _printk+0xbf/0x100 [ 3.332762] ? __pfx__printk+0x10/0x10 [ 3.333007] ? _raw_write_lock_irq+0x81/0xe0 [ 3.333284] ? __pfx__raw_write_lock_irq+0x10/0x10 [ 3.333614] msg_from_mpoad+0x1185/0x2750 [ 3.333893] ? __build_skb_around+0x27b/0x3a0 [ 3.334183] ? __pfx_msg_from_mpoad+0x10/0x10 [ 3.334501] ? __alloc_skb+0x1c0/0x310 [ 3.334809] ? __pfx___alloc_skb+0x10/0x10 [ 3.335283] ? _raw_spin_lock+0xe0/0xe0 [ 3.335632] ? finish_wait+0x8d/0x1e0 [ 3.335975] vcc_sendmsg+0x684/0xba0 [ 3.336250] ? __pfx_vcc_sendmsg+0x10/0x10 [ 3.336587] ? __pfx_autoremove_wake_function+0x10/0x10 [ 3.337056] ? fdget+0x176/0x3e0 [ 3.337348] __sys_sendto+0x4a2/0x510 [ 3.337663] ? __pfx___sys_sendto+0x10/0x10 [ 3.337969] ? ioctl_has_perm.constprop.0.isra.0+0x284/0x400 [ 3.338364] ? sock_ioctl+0x1bb/0x5a0 [ 3.338653] ? __rseq_handle_notify_resume+0x825/0xd20 [ 3.339017] ? __pfx_sock_ioctl+0x10/0x10 [ 3.339316] ? __pfx___rseq_handle_notify_resume+0x10/0x10 [ 3.339727] ? selinux_file_ioctl+0xa4/0x260 [ 3.340166] __x64_sys_sendto+0xe0/0x1c0 [ 3.340526] ? syscall_exit_to_user_mode+0x123/0x140 [ 3.340898] do_syscall_64+0xa6/0x1a0 [ 3.341170] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 3.341533] RIP: 0033:0x44a380 [ 3.341757] Code: 0f 1f 84 00 00 00 00 00 66 90 f3 0f 1e fa 41 89 ca 64 8b 04 25 18 00 00 00 85 c00 [ ---truncated--- Уязвимость компонента mpc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: memstick: rtsx_usb_ms: Fix slab-use-after-free in rtsx_usb_ms_drv_remove This fixes the following crash: ================================================================== BUG: KASAN: slab-use-after-free in rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] Read of size 8 at addr ffff888136335380 by task kworker/6:0/140241 CPU: 6 UID: 0 PID: 140241 Comm: kworker/6:0 Kdump: loaded Tainted: G E 6.14.0-rc6+ #1 Tainted: [E]=UNSIGNED_MODULE Hardware name: LENOVO 30FNA1V7CW/1057, BIOS S0EKT54A 07/01/2024 Workqueue: events rtsx_usb_ms_poll_card [rtsx_usb_ms] Call Trace: <TASK> dump_stack_lvl+0x51/0x70 print_address_description.constprop.0+0x27/0x320 ? rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] print_report+0x3e/0x70 kasan_report+0xab/0xe0 ? rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] ? __pfx_rtsx_usb_ms_poll_card+0x10/0x10 [rtsx_usb_ms] ? __pfx___schedule+0x10/0x10 ? kick_pool+0x3b/0x270 process_one_work+0x357/0x660 worker_thread+0x390/0x4c0 ? __pfx_worker_thread+0x10/0x10 kthread+0x190/0x1d0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 161446: kasan_save_stack+0x20/0x40 kasan_save_track+0x10/0x30 __kasan_kmalloc+0x7b/0x90 __kmalloc_noprof+0x1a7/0x470 memstick_alloc_host+0x1f/0xe0 [memstick] rtsx_usb_ms_drv_probe+0x47/0x320 [rtsx_usb_ms] platform_probe+0x60/0xe0 call_driver_probe+0x35/0x120 really_probe+0x123/0x410 __driver_probe_device+0xc7/0x1e0 driver_probe_device+0x49/0xf0 __device_attach_driver+0xc6/0x160 bus_for_each_drv+0xe4/0x160 __device_attach+0x13a/0x2b0 bus_probe_device+0xbd/0xd0 device_add+0x4a5/0x760 platform_device_add+0x189/0x370 mfd_add_device+0x587/0x5e0 mfd_add_devices+0xb1/0x130 rtsx_usb_probe+0x28e/0x2e0 [rtsx_usb] usb_probe_interface+0x15c/0x460 call_driver_probe+0x35/0x120 really_probe+0x123/0x410 __driver_probe_device+0xc7/0x1e0 driver_probe_device+0x49/0xf0 __device_attach_driver+0xc6/0x160 bus_for_each_drv+0xe4/0x160 __device_attach+0x13a/0x2b0 rebind_marked_interfaces.isra.0+0xcc/0x110 usb_reset_device+0x352/0x410 usbdev_do_ioctl+0xe5c/0x1860 usbdev_ioctl+0xa/0x20 __x64_sys_ioctl+0xc5/0xf0 do_syscall_64+0x59/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 161506: kasan_save_stack+0x20/0x40 kasan_save_track+0x10/0x30 kasan_save_free_info+0x36/0x60 __kasan_slab_free+0x34/0x50 kfree+0x1fd/0x3b0 device_release+0x56/0xf0 kobject_cleanup+0x73/0x1c0 rtsx_usb_ms_drv_remove+0x13d/0x220 [rtsx_usb_ms] platform_remove+0x2f/0x50 device_release_driver_internal+0x24b/0x2e0 bus_remove_device+0x124/0x1d0 device_del+0x239/0x530 platform_device_del.part.0+0x19/0xe0 platform_device_unregister+0x1c/0x40 mfd_remove_devices_fn+0x167/0x170 device_for_each_child_reverse+0xc9/0x130 mfd_remove_devices+0x6e/0xa0 rtsx_usb_disconnect+0x2e/0xd0 [rtsx_usb] usb_unbind_interface+0xf3/0x3f0 device_release_driver_internal+0x24b/0x2e0 proc_disconnect_claim+0x13d/0x220 usbdev_do_ioctl+0xb5e/0x1860 usbdev_ioctl+0xa/0x20 __x64_sys_ioctl+0xc5/0xf0 do_syscall_64+0x59/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Last potentially related work creation: kasan_save_stack+0x20/0x40 kasan_record_aux_stack+0x85/0x90 insert_work+0x29/0x100 __queue_work+0x34a/0x540 call_timer_fn+0x2a/0x160 expire_timers+0x5f/0x1f0 __run_timer_base.part.0+0x1b6/0x1e0 run_timer_softirq+0x8b/0xe0 handle_softirqs+0xf9/0x360 __irq_exit_rcu+0x114/0x130 sysvec_apic_timer_interrupt+0x72/0x90 asm_sysvec_apic_timer_interrupt+0x16/0x20 Second to last potentially related work creation: kasan_save_stack+0x20/0x40 kasan_record_aux_stack+0x85/0x90 insert_work+0x29/0x100 __queue_work+0x34a/0x540 call_timer_fn+0x2a/0x160 expire_timers+0x5f/0x1f0 __run_timer_base.part.0+0x1b6/0x1e0 run_timer_softirq+0x8b/0xe0 handle_softirqs+0xf9/0x ---truncated--- Уязвимость функции rtsx_usb_ms_drv_remove() компонента drivers/memstick/host/rtsx_usb_ms.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: socket: Lookup orig tuple for IPv6 SNAT nf_sk_lookup_slow_v4 does the conntrack lookup for IPv4 packets to restore the original 5-tuple in case of SNAT, to be able to find the right socket (if any). Then socket_match() can correctly check whether the socket was transparent. However, the IPv6 counterpart (nf_sk_lookup_slow_v6) lacks this conntrack lookup, making xt_socket fail to match on the socket when the packet was SNATed. Add the same logic to nf_sk_lookup_slow_v6. IPv6 SNAT is used in Kubernetes clusters for pod-to-world packets, as pods' addresses are in the fd00::/8 ULA subnet and need to be replaced with the node's external address. Cilium leverages Envoy to enforce L7 policies, and Envoy uses transparent sockets. Cilium inserts an iptables prerouting rule that matches on `-m socket --transparent` and redirects the packets to localhost, but it fails to match SNATed IPv6 packets due to that missing conntrack lookup. Уязвимость компонента netfilter ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: put dl_stid if fail to queue dl_recall Before calling nfsd4_run_cb to queue dl_recall to the callback_wq, we increment the reference count of dl_stid. We expect that after the corresponding work_struct is processed, the reference count of dl_stid will be decremented through the callback function nfsd4_cb_recall_release. However, if the call to nfsd4_run_cb fails, the incremented reference count of dl_stid will not be decremented correspondingly, leading to the following nfs4_stid leak: unreferenced object 0xffff88812067b578 (size 344): comm "nfsd", pid 2761, jiffies 4295044002 (age 5541.241s) hex dump (first 32 bytes): 01 00 00 00 6b 6b 6b 6b b8 02 c0 e2 81 88 ff ff ....kkkk........ 00 6b 6b 6b 6b 6b 6b 6b 00 00 00 00 ad 4e ad de .kkkkkkk.....N.. backtrace: kmem_cache_alloc+0x4b9/0x700 nfsd4_process_open1+0x34/0x300 nfsd4_open+0x2d1/0x9d0 nfsd4_proc_compound+0x7a2/0xe30 nfsd_dispatch+0x241/0x3e0 svc_process_common+0x5d3/0xcc0 svc_process+0x2a3/0x320 nfsd+0x180/0x2e0 kthread+0x199/0x1d0 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1b/0x30 unreferenced object 0xffff8881499f4d28 (size 368): comm "nfsd", pid 2761, jiffies 4295044005 (age 5541.239s) hex dump (first 32 bytes): 01 00 00 00 00 00 00 00 30 4d 9f 49 81 88 ff ff ........0M.I.... 30 4d 9f 49 81 88 ff ff 20 00 00 00 01 00 00 00 0M.I.... ....... backtrace: kmem_cache_alloc+0x4b9/0x700 nfs4_alloc_stid+0x29/0x210 alloc_init_deleg+0x92/0x2e0 nfs4_set_delegation+0x284/0xc00 nfs4_open_delegation+0x216/0x3f0 nfsd4_process_open2+0x2b3/0xee0 nfsd4_open+0x770/0x9d0 nfsd4_proc_compound+0x7a2/0xe30 nfsd_dispatch+0x241/0x3e0 svc_process_common+0x5d3/0xcc0 svc_process+0x2a3/0x320 nfsd+0x180/0x2e0 kthread+0x199/0x1d0 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1b/0x30 Fix it by checking the result of nfsd4_run_cb and call nfs4_put_stid if fail to queue dl_recall. Уязвимость компонента nfsd ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: streamzap: fix race between device disconnection and urb callback Syzkaller has reported a general protection fault at function ir_raw_event_store_with_filter(). This crash is caused by a NULL pointer dereference of dev->raw pointer, even though it is checked for NULL in the same function, which means there is a race condition. It occurs due to the incorrect order of actions in the streamzap_disconnect() function: rc_unregister_device() is called before usb_kill_urb(). The dev->raw pointer is freed and set to NULL in rc_unregister_device(), and only after that usb_kill_urb() waits for in-progress requests to finish. If rc_unregister_device() is called while streamzap_callback() handler is not finished, this can lead to accessing freed resources. Thus rc_unregister_device() should be called after usb_kill_urb(). Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента streamzap.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: Don't call NULL in do_compat_alignment_fixup() do_alignment_t32_to_handler() only fixes up alignment faults for specific instructions; it returns NULL otherwise (e.g. LDREX). When that's the case, signal to the caller that it needs to proceed with the regular alignment fault handling (i.e. SIGBUS). Without this patch, the kernel panics: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Mem abort info: ESR = 0x0000000086000006 EC = 0x21: IABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x06: level 2 translation fault user pgtable: 4k pages, 48-bit VAs, pgdp=00000800164aa000 [0000000000000000] pgd=0800081fdbd22003, p4d=0800081fdbd22003, pud=08000815d51c6003, pmd=0000000000000000 Internal error: Oops: 0000000086000006 [#1] SMP Modules linked in: cfg80211 rfkill xt_nat xt_tcpudp xt_conntrack nft_chain_nat xt_MASQUERADE nf_nat nf_conntrack_netlink nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 xfrm_user xfrm_algo xt_addrtype nft_compat br_netfilter veth nvme_fa> libcrc32c crc32c_generic raid0 multipath linear dm_mod dax raid1 md_mod xhci_pci nvme xhci_hcd nvme_core t10_pi usbcore igb crc64_rocksoft crc64 crc_t10dif crct10dif_generic crct10dif_ce crct10dif_common usb_common i2c_algo_bit i2c> CPU: 2 PID: 3932954 Comm: WPEWebProcess Not tainted 6.1.0-31-arm64 #1 Debian 6.1.128-1 Hardware name: GIGABYTE MP32-AR1-00/MP32-AR1-00, BIOS F18v (SCP: 1.08.20211002) 12/01/2021 pstate: 80400009 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : 0x0 lr : do_compat_alignment_fixup+0xd8/0x3dc sp : ffff80000f973dd0 x29: ffff80000f973dd0 x28: ffff081b42526180 x27: 0000000000000000 x26: 0000000000000000 x25: 0000000000000000 x24: 0000000000000000 x23: 0000000000000004 x22: 0000000000000000 x21: 0000000000000001 x20: 00000000e8551f00 x19: ffff80000f973eb0 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000000 x10: 0000000000000000 x9 : ffffaebc949bc488 x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : 0000000000400000 x4 : 0000fffffffffffe x3 : 0000000000000000 x2 : ffff80000f973eb0 x1 : 00000000e8551f00 x0 : 0000000000000001 Call trace: 0x0 do_alignment_fault+0x40/0x50 do_mem_abort+0x4c/0xa0 el0_da+0x48/0xf0 el0t_32_sync_handler+0x110/0x140 el0t_32_sync+0x190/0x194 Code: bad PC value ---[ end trace 0000000000000000 ]--- Уязвимость компонента compat_alignment.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix use-after-free in print_graph_function_flags during tracer switching Kairui reported a UAF issue in print_graph_function_flags() during ftrace stress testing [1]. This issue can be reproduced if puting a 'mdelay(10)' after 'mutex_unlock(&trace_types_lock)' in s_start(), and executing the following script: $ echo function_graph > current_tracer $ cat trace > /dev/null & $ sleep 5 # Ensure the 'cat' reaches the 'mdelay(10)' point $ echo timerlat > current_tracer The root cause lies in the two calls to print_graph_function_flags within print_trace_line during each s_show(): * One through 'iter->trace->print_line()'; * Another through 'event->funcs->trace()', which is hidden in print_trace_fmt() before print_trace_line returns. Tracer switching only updates the former, while the latter continues to use the print_line function of the old tracer, which in the script above is print_graph_function_flags. Moreover, when switching from the 'function_graph' tracer to the 'timerlat' tracer, s_start only calls graph_trace_close of the 'function_graph' tracer to free 'iter->private', but does not set it to NULL. This provides an opportunity for 'event->funcs->trace()' to use an invalid 'iter->private'. To fix this issue, set 'iter->private' to NULL immediately after freeing it in graph_trace_close(), ensuring that an invalid pointer is not passed to other tracers. Additionally, clean up the unnecessary 'iter->private = NULL' during each 'cat trace' when using wakeup and irqsoff tracers. [1] https://lore.kernel.org/all/20231112150030.84609-1-ryncsn@gmail.com/ Уязвимость компонента kernel/trace ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: validate zero num_subauth before sub_auth is accessed Access psid->sub_auth[psid->num_subauth - 1] without checking if num_subauth is non-zero leads to an out-of-bounds read. This patch adds a validation step to ensure num_subauth != 0 before sub_auth is accessed. Уязвимость компонента ksmbd ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix session use-after-free in multichannel connection There is a race condition between session setup and ksmbd_sessions_deregister. The session can be freed before the connection is added to channel list of session. This patch check reference count of session before freeing it. Уязвимость компонента ksmbd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_sessions_deregister() In multichannel mode, UAF issue can occur in session_deregister when the second channel sets up a session through the connection of the first channel. session that is freed through the global session table can be accessed again through ->sessions of connection. Уязвимость функции ksmbd_sessions_deregister() компонента user_session.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: add bounds check for create lease context Add missing bounds check for create lease context. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: acpi: nfit: fix narrowing conversion in acpi_nfit_ctl Syzkaller has reported a warning in to_nfit_bus_uuid(): "only secondary bus families can be translated". This warning is emited if the argument is equal to NVDIMM_BUS_FAMILY_NFIT == 0. Function acpi_nfit_ctl() first verifies that a user-provided value call_pkg->nd_family of type u64 is not equal to 0. Then the value is converted to int, and only after that is compared to NVDIMM_BUS_FAMILY_MAX. This can lead to passing an invalid argument to acpi_nfit_ctl(), if call_pkg->nd_family is non-zero, while the lower 32 bits are zero. Furthermore, it is best to return EINVAL immediately upon seeing the invalid user input. The WARNING is insufficient to prevent further undefined behavior based on other invalid user input. All checks of the input value should be applied to the original variable call_pkg->nd_family. [iweiny: update commit message] Уязвимость компонента acpi ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-704')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm: Fix flush_tlb_range() when used for zapping normal PMDs On the following path, flush_tlb_range() can be used for zapping normal PMD entries (PMD entries that point to page tables) together with the PTE entries in the pointed-to page table: collapse_pte_mapped_thp pmdp_collapse_flush flush_tlb_range The arm64 version of flush_tlb_range() has a comment describing that it can be used for page table removal, and does not use any last-level invalidation optimizations. Fix the X86 version by making it behave the same way. Currently, X86 only uses this information for the following two purposes, which I think means the issue doesn't have much impact: - In native_flush_tlb_multi() for checking if lazy TLB CPUs need to be IPI'd to avoid issues with speculative page table walks. - In Hyper-V TLB paravirtualization, again for lazy TLB stuff. The patch "x86/mm: only invalidate final translations with INVLPGB" which is currently under review (see <https://lore.kernel.org/all/20241230175550.4046587-13-riel@surriel.com/>) would probably be making the impact of this a lot worse. Уязвимость компонента x86/mm ядра операционной системы Linux связана с недостатком механизма безопасности данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Increase ARCH_DMA_MINALIGN up to 16 ARCH_DMA_MINALIGN is 1 by default, but some LoongArch-specific devices (such as APBDMA) require 16 bytes alignment. When the data buffer length is too small, the hardware may make an error writing cacheline. Thus, it is dangerous to allocate a small memory buffer for DMA. It's always safe to define ARCH_DMA_MINALIGN as L1_CACHE_BYTES but unnecessary (kmalloc() need small memory objects). Therefore, just increase it to 16. Уязвимость ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usbnet:fix NPE during rx_complete Missing usbnet_going_away Check in Critical Path. The usb_submit_urb function lacks a usbnet_going_away validation, whereas __usbnet_queue_skb includes this check. This inconsistency creates a race condition where: A URB request may succeed, but the corresponding SKB data fails to be queued. Subsequent processes: (e.g., rx_complete → defer_bh → __skb_unlink(skb, list)) attempt to access skb->next, triggering a NULL pointer dereference (Kernel Panic). Уязвимость компонента usbnet ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arcnet: Add NULL check in com20020pci_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, com20020pci_probe() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue and ensure no resources are left allocated. Уязвимость компонента com20020-pci.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix geneve_opt length integer overflow struct geneve_opt uses 5 bit length for each single option, which means every vary size option should be smaller than 128 bytes. However, all current related Netlink policies cannot promise this length condition and the attacker can exploit a exact 128-byte size option to *fake* a zero length option and confuse the parsing logic, further achieve heap out-of-bounds read. One example crash log is like below: [ 3.905425] ================================================================== [ 3.905925] BUG: KASAN: slab-out-of-bounds in nla_put+0xa9/0xe0 [ 3.906255] Read of size 124 at addr ffff888005f291cc by task poc/177 [ 3.906646] [ 3.906775] CPU: 0 PID: 177 Comm: poc-oob-read Not tainted 6.1.132 #1 [ 3.907131] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 [ 3.907784] Call Trace: [ 3.907925] <TASK> [ 3.908048] dump_stack_lvl+0x44/0x5c [ 3.908258] print_report+0x184/0x4be [ 3.909151] kasan_report+0xc5/0x100 [ 3.909539] kasan_check_range+0xf3/0x1a0 [ 3.909794] memcpy+0x1f/0x60 [ 3.909968] nla_put+0xa9/0xe0 [ 3.910147] tunnel_key_dump+0x945/0xba0 [ 3.911536] tcf_action_dump_1+0x1c1/0x340 [ 3.912436] tcf_action_dump+0x101/0x180 [ 3.912689] tcf_exts_dump+0x164/0x1e0 [ 3.912905] fw_dump+0x18b/0x2d0 [ 3.913483] tcf_fill_node+0x2ee/0x460 [ 3.914778] tfilter_notify+0xf4/0x180 [ 3.915208] tc_new_tfilter+0xd51/0x10d0 [ 3.918615] rtnetlink_rcv_msg+0x4a2/0x560 [ 3.919118] netlink_rcv_skb+0xcd/0x200 [ 3.919787] netlink_unicast+0x395/0x530 [ 3.921032] netlink_sendmsg+0x3d0/0x6d0 [ 3.921987] __sock_sendmsg+0x99/0xa0 [ 3.922220] __sys_sendto+0x1b7/0x240 [ 3.922682] __x64_sys_sendto+0x72/0x90 [ 3.922906] do_syscall_64+0x5e/0x90 [ 3.923814] entry_SYSCALL_64_after_hwframe+0x6e/0xd8 [ 3.924122] RIP: 0033:0x7e83eab84407 [ 3.924331] Code: 48 89 fa 4c 89 df e8 38 aa 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 faf [ 3.925330] RSP: 002b:00007ffff505e370 EFLAGS: 00000202 ORIG_RAX: 000000000000002c [ 3.925752] RAX: ffffffffffffffda RBX: 00007e83eaafa740 RCX: 00007e83eab84407 [ 3.926173] RDX: 00000000000001a8 RSI: 00007ffff505e3c0 RDI: 0000000000000003 [ 3.926587] RBP: 00007ffff505f460 R08: 00007e83eace1000 R09: 000000000000000c [ 3.926977] R10: 0000000000000000 R11: 0000000000000202 R12: 00007ffff505f3c0 [ 3.927367] R13: 00007ffff505f5c8 R14: 00007e83ead1b000 R15: 00005d4fbbe6dcb8 Fix these issues by enforing correct length condition in related policies. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_tunnel: fix geneve_opt type confusion addition When handling multiple NFTA_TUNNEL_KEY_OPTS_GENEVE attributes, the parsing logic should place every geneve_opt structure one by one compactly. Hence, when deciding the next geneve_opt position, the pointer addition should be in units of char *. However, the current implementation erroneously does type conversion before the addition, which will lead to heap out-of-bounds write. [ 6.989857] ================================================================== [ 6.990293] BUG: KASAN: slab-out-of-bounds in nft_tunnel_obj_init+0x977/0xa70 [ 6.990725] Write of size 124 at addr ffff888005f18974 by task poc/178 [ 6.991162] [ 6.991259] CPU: 0 PID: 178 Comm: poc-oob-write Not tainted 6.1.132 #1 [ 6.991655] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 [ 6.992281] Call Trace: [ 6.992423] <TASK> [ 6.992586] dump_stack_lvl+0x44/0x5c [ 6.992801] print_report+0x184/0x4be [ 6.993790] kasan_report+0xc5/0x100 [ 6.994252] kasan_check_range+0xf3/0x1a0 [ 6.994486] memcpy+0x38/0x60 [ 6.994692] nft_tunnel_obj_init+0x977/0xa70 [ 6.995677] nft_obj_init+0x10c/0x1b0 [ 6.995891] nf_tables_newobj+0x585/0x950 [ 6.996922] nfnetlink_rcv_batch+0xdf9/0x1020 [ 6.998997] nfnetlink_rcv+0x1df/0x220 [ 6.999537] netlink_unicast+0x395/0x530 [ 7.000771] netlink_sendmsg+0x3d0/0x6d0 [ 7.001462] __sock_sendmsg+0x99/0xa0 [ 7.001707] ____sys_sendmsg+0x409/0x450 [ 7.002391] ___sys_sendmsg+0xfd/0x170 [ 7.003145] __sys_sendmsg+0xea/0x170 [ 7.004359] do_syscall_64+0x5e/0x90 [ 7.005817] entry_SYSCALL_64_after_hwframe+0x6e/0xd8 [ 7.006127] RIP: 0033:0x7ec756d4e407 [ 7.006339] Code: 48 89 fa 4c 89 df e8 38 aa 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 faf [ 7.007364] RSP: 002b:00007ffed5d46760 EFLAGS: 00000202 ORIG_RAX: 000000000000002e [ 7.007827] RAX: ffffffffffffffda RBX: 00007ec756cc4740 RCX: 00007ec756d4e407 [ 7.008223] RDX: 0000000000000000 RSI: 00007ffed5d467f0 RDI: 0000000000000003 [ 7.008620] RBP: 00007ffed5d468a0 R08: 0000000000000000 R09: 0000000000000000 [ 7.009039] R10: 0000000000000000 R11: 0000000000000202 R12: 0000000000000000 [ 7.009429] R13: 00007ffed5d478b0 R14: 00007ec756ee5000 R15: 00005cbd4e655cb8 Fix this bug with correct pointer addition and conversion in parse and dump code. Уязвимость компонента net/netfilter/nft_tunnel.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-22056 необходимо запретить загрузку модуля _br_netfilter.ko_ в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль _br_netfilter_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово _install_, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: {code:bash} sudo update-initramfs -uk all {code} 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udp: Fix memory accounting leak. Matt Dowling reported a weird UDP memory usage issue. Under normal operation, the UDP memory usage reported in /proc/net/sockstat remains close to zero. However, it occasionally spiked to 524,288 pages and never dropped. Moreover, the value doubled when the application was terminated. Finally, it caused intermittent packet drops. We can reproduce the issue with the script below [0]: 1. /proc/net/sockstat reports 0 pages # cat /proc/net/sockstat | grep UDP: UDP: inuse 1 mem 0 2. Run the script till the report reaches 524,288 # python3 test.py & sleep 5 # cat /proc/net/sockstat | grep UDP: UDP: inuse 3 mem 524288 <-- (INT_MAX + 1) >> PAGE_SHIFT 3. Kill the socket and confirm the number never drops # pkill python3 && sleep 5 # cat /proc/net/sockstat | grep UDP: UDP: inuse 1 mem 524288 4. (necessary since v6.0) Trigger proto_memory_pcpu_drain() # python3 test.py & sleep 1 && pkill python3 5. The number doubles # cat /proc/net/sockstat | grep UDP: UDP: inuse 1 mem 1048577 The application set INT_MAX to SO_RCVBUF, which triggered an integer overflow in udp_rmem_release(). When a socket is close()d, udp_destruct_common() purges its receive queue and sums up skb->truesize in the queue. This total is calculated and stored in a local unsigned integer variable. The total size is then passed to udp_rmem_release() to adjust memory accounting. However, because the function takes a signed integer argument, the total size can wrap around, causing an overflow. Then, the released amount is calculated as follows: 1) Add size to sk->sk_forward_alloc. 2) Round down sk->sk_forward_alloc to the nearest lower multiple of PAGE_SIZE and assign it to amount. 3) Subtract amount from sk->sk_forward_alloc. 4) Pass amount >> PAGE_SHIFT to __sk_mem_reduce_allocated(). When the issue occurred, the total in udp_destruct_common() was 2147484480 (INT_MAX + 833), which was cast to -2147482816 in udp_rmem_release(). At 1) sk->sk_forward_alloc is changed from 3264 to -2147479552, and 2) sets -2147479552 to amount. 3) reverts the wraparound, so we don't see a warning in inet_sock_destruct(). However, udp_memory_allocated ends up doubling at 4). Since commit 3cd3399dd7a8 ("net: implement per-cpu reserves for memory_allocated"), memory usage no longer doubles immediately after a socket is close()d because __sk_mem_reduce_allocated() caches the amount in udp_memory_per_cpu_fw_alloc. However, the next time a UDP socket receives a packet, the subtraction takes effect, causing UDP memory usage to double. This issue makes further memory allocation fail once the socket's sk->sk_rmem_alloc exceeds net.ipv4.udp_rmem_min, resulting in packet drops. To prevent this issue, let's use unsigned int for the calculation and call sk_forward_alloc_add() only once for the small delta. Note that first_packet_length() also potentially has the same problem. [0]: from socket import * SO_RCVBUFFORCE = 33 INT_MAX = (2 ** 31) - 1 s = socket(AF_INET, SOCK_DGRAM) s.bind(('', 0)) s.setsockopt(SOL_SOCKET, SO_RCVBUFFORCE, INT_MAX) c = socket(AF_INET, SOCK_DGRAM) c.connect(s.getsockname()) data = b'a' * 100 while True: c.send(data) Уязвимость ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: mvpp2: Prevent parser TCAM memory corruption Protect the parser TCAM/SRAM memory, and the cached (shadow) SRAM information, from concurrent modifications. Both the TCAM and SRAM tables are indirectly accessed by configuring an index register that selects the row to read or write to. This means that operations must be atomic in order to, e.g., avoid spreading writes across multiple rows. Since the shadow SRAM array is used to find free rows in the hardware table, it must also be protected in order to avoid TOCTOU errors where multiple cores allocate the same row. This issue was detected in a situation where `mvpp2_set_rx_mode()` ran concurrently on two CPUs. In this particular case the MVPP2_PE_MAC_UC_PROMISCUOUS entry was corrupted, causing the classifier unit to drop all incoming unicast - indicated by the `rx_classifier_drops` counter. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: add mutual exclusion in proc_sctp_do_udp_port() We must serialize calls to sctp_udp_sock_stop() and sctp_udp_sock_start() or risk a crash as syzbot reported: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000d: 0000 [#1] SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000068-0x000000000000006f] CPU: 1 UID: 0 PID: 6551 Comm: syz.1.44 Not tainted 6.14.0-syzkaller-g7f2ff7b62617 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 RIP: 0010:kernel_sock_shutdown+0x47/0x70 net/socket.c:3653 Call Trace: <TASK> udp_tunnel_sock_release+0x68/0x80 net/ipv4/udp_tunnel_core.c:181 sctp_udp_sock_stop+0x71/0x160 net/sctp/protocol.c:930 proc_sctp_do_udp_port+0x264/0x450 net/sctp/sysctl.c:553 proc_sys_call_handler+0x3d0/0x5b0 fs/proc/proc_sysctl.c:601 iter_file_splice_write+0x91c/0x1150 fs/splice.c:738 do_splice_from fs/splice.c:935 [inline] direct_splice_actor+0x18f/0x6c0 fs/splice.c:1158 splice_direct_to_actor+0x342/0xa30 fs/splice.c:1102 do_splice_direct_actor fs/splice.c:1201 [inline] do_splice_direct+0x174/0x240 fs/splice.c:1227 do_sendfile+0xafd/0xe50 fs/read_write.c:1368 __do_sys_sendfile64 fs/read_write.c:1429 [inline] __se_sys_sendfile64 fs/read_write.c:1415 [inline] __x64_sys_sendfile64+0x1d8/0x220 fs/read_write.c:1415 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] Уязвимость компонента sysctl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netlabel: Fix NULL pointer exception caused by CALIPSO on IPv4 sockets When calling netlbl_conn_setattr(), addr->sa_family is used to determine the function behavior. If sk is an IPv4 socket, but the connect function is called with an IPv6 address, the function calipso_sock_setattr() is triggered. Inside this function, the following code is executed: sk_fullsock(__sk) ? inet_sk(__sk)->pinet6 : NULL; Since sk is an IPv4 socket, pinet6 is NULL, leading to a null pointer dereference. This patch fixes the issue by checking if inet6_sk(sk) returns a NULL pointer before accessing pinet6. Уязвимость компонента calipso.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: imx-card: Add NULL check in imx_card_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, imx_card_probe() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость компонента imx-card.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spufs: fix a leak in spufs_create_context() Leak fixes back in 2008 missed one case - if we are trying to set affinity and spufs_mkdir() fails, we need to drop the reference to neighbor. Уязвимость функции spufs_create_context() ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spufs: fix gang directory lifetimes prior to "[POWERPC] spufs: Fix gang destroy leaks" we used to have a problem with gang lifetimes - creation of a gang returns opened gang directory, which normally gets removed when that gets closed, but if somebody has created a context belonging to that gang and kept it alive until the gang got closed, removal failed and we ended up with a leak. Unfortunately, it had been fixed the wrong way. Dentry of gang directory was no longer pinned, and rmdir on close was gone. One problem was that failure of open kept calling simple_rmdir() as cleanup, which meant an unbalanced dput(). Another bug was in the success case - gang creation incremented link count on root directory, but that was no longer undone when gang got destroyed. Fix consists of * reverting the commit in question * adding a counter to gang, protected by ->i_rwsem of gang directory inode. * having it set to 1 at creation time, dropped in both spufs_dir_close() and spufs_gang_close() and bumped in spufs_create_context(), provided that it's not 0. * using simple_recursive_removal() to take the gang directory out when counter reaches zero. Уязвимость компонента spufs ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spufs: fix a leak on spufs_new_file() failure It's called from spufs_fill_dir(), and caller of that will do spufs_rmdir() in case of failure. That does remove everything we'd managed to create, but... the problem dentry is still negative. IOW, it needs to be explicitly dropped. Уязвимость функции spufs_rmdir() ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rtnetlink: Allocate vfinfo size for VF GUIDs when supported Commit 30aad41721e0 ("net/core: Add support for getting VF GUIDs") added support for getting VF port and node GUIDs in netlink ifinfo messages, but their size was not taken into consideration in the function that allocates the netlink message, causing the following warning when a netlink message is filled with many VF port and node GUIDs: # echo 64 > /sys/bus/pci/devices/0000\:08\:00.0/sriov_numvfs # ip link show dev ib0 RTNETLINK answers: Message too long Cannot send link get request: Message too long Kernel warning: ------------[ cut here ]------------ WARNING: CPU: 2 PID: 1930 at net/core/rtnetlink.c:4151 rtnl_getlink+0x586/0x5a0 Modules linked in: xt_conntrack xt_MASQUERADE nfnetlink xt_addrtype iptable_nat nf_nat br_netfilter overlay mlx5_ib macsec mlx5_core tls rpcrdma rdma_ucm ib_uverbs ib_iser libiscsi scsi_transport_iscsi ib_umad rdma_cm iw_cm ib_ipoib fuse ib_cm ib_core CPU: 2 UID: 0 PID: 1930 Comm: ip Not tainted 6.14.0-rc2+ #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:rtnl_getlink+0x586/0x5a0 Code: cb 82 e8 3d af 0a 00 4d 85 ff 0f 84 08 ff ff ff 4c 89 ff 41 be ea ff ff ff e8 66 63 5b ff 49 c7 07 80 4f cb 82 e9 36 fc ff ff <0f> 0b e9 16 fe ff ff e8 de a0 56 00 66 66 2e 0f 1f 84 00 00 00 00 RSP: 0018:ffff888113557348 EFLAGS: 00010246 RAX: 00000000ffffffa6 RBX: ffff88817e87aa34 RCX: dffffc0000000000 RDX: 0000000000000003 RSI: 0000000000000000 RDI: ffff88817e87afb8 RBP: 0000000000000009 R08: ffffffff821f44aa R09: 0000000000000000 R10: ffff8881260f79a8 R11: ffff88817e87af00 R12: ffff88817e87aa00 R13: ffffffff8563d300 R14: 00000000ffffffa6 R15: 00000000ffffffff FS: 00007f63a5dbf280(0000) GS:ffff88881ee00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f63a5ba4493 CR3: 00000001700fe002 CR4: 0000000000772eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __warn+0xa5/0x230 ? rtnl_getlink+0x586/0x5a0 ? report_bug+0x22d/0x240 ? handle_bug+0x53/0xa0 ? exc_invalid_op+0x14/0x50 ? asm_exc_invalid_op+0x16/0x20 ? skb_trim+0x6a/0x80 ? rtnl_getlink+0x586/0x5a0 ? __pfx_rtnl_getlink+0x10/0x10 ? rtnetlink_rcv_msg+0x1e5/0x860 ? __pfx___mutex_lock+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? __pfx_lock_acquire+0x10/0x10 ? stack_trace_save+0x90/0xd0 ? filter_irq_stacks+0x1d/0x70 ? kasan_save_stack+0x30/0x40 ? kasan_save_stack+0x20/0x40 ? kasan_save_track+0x10/0x30 rtnetlink_rcv_msg+0x21c/0x860 ? entry_SYSCALL_64_after_hwframe+0x76/0x7e ? __pfx_rtnetlink_rcv_msg+0x10/0x10 ? arch_stack_walk+0x9e/0xf0 ? rcu_is_watching+0x34/0x60 ? lock_acquire+0xd5/0x410 ? rcu_is_watching+0x34/0x60 netlink_rcv_skb+0xe0/0x210 ? __pfx_rtnetlink_rcv_msg+0x10/0x10 ? __pfx_netlink_rcv_skb+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? __pfx___netlink_lookup+0x10/0x10 ? lock_release+0x62/0x200 ? netlink_deliver_tap+0xfd/0x290 ? rcu_is_watching+0x34/0x60 ? lock_release+0x62/0x200 ? netlink_deliver_tap+0x95/0x290 netlink_unicast+0x31f/0x480 ? __pfx_netlink_unicast+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? lock_acquire+0xd5/0x410 netlink_sendmsg+0x369/0x660 ? lock_release+0x62/0x200 ? __pfx_netlink_sendmsg+0x10/0x10 ? import_ubuf+0xb9/0xf0 ? __import_iovec+0x254/0x2b0 ? lock_release+0x62/0x200 ? __pfx_netlink_sendmsg+0x10/0x10 ____sys_sendmsg+0x559/0x5a0 ? __pfx_____sys_sendmsg+0x10/0x10 ? __pfx_copy_msghdr_from_user+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? do_read_fault+0x213/0x4a0 ? rcu_is_watching+0x34/0x60 ___sys_sendmsg+0xe4/0x150 ? __pfx____sys_sendmsg+0x10/0x10 ? do_fault+0x2cc/0x6f0 ? handle_pte_fault+0x2e3/0x3d0 ? __pfx_handle_pte_fault+0x10/0x10 ---truncated--- Уязвимость функции rtnl_vfinfo_size() компонента net/core/rtnetlink.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: validate l_tree_depth to avoid out-of-bounds access The l_tree_depth field is 16-bit (__le16), but the actual maximum depth is limited to OCFS2_MAX_PATH_DEPTH. Add a check to prevent out-of-bounds access if l_tree_depth has an invalid value, which may occur when reading from a corrupted mounted disk [1]. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fix a couple integer overflows on 32bit systems On 32bit systems the "off + sizeof(struct NTFS_DE)" addition can have an integer wrapping issue. Fix it by using size_add(). Уязвимость компонента index.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix mlx5_poll_one() cur_qp update flow When cur_qp isn't NULL, in order to avoid fetching the QP from the radix tree again we check if the next cqe QP is identical to the one we already have. The bug however is that we are checking if the QP is identical by checking the QP number inside the CQE against the QP number inside the mlx5_ib_qp, but that's wrong since the QP number from the CQE is from FW so it should be matched against mlx5_core_qp which is our FW QP number. Otherwise we could use the wrong QP when handling a CQE which could cause the kernel trace below. This issue is mainly noticeable over QPs 0 & 1, since for now they are the only QPs in our driver whereas the QP number inside mlx5_ib_qp doesn't match the QP number inside mlx5_core_qp. BUG: kernel NULL pointer dereference, address: 0000000000000012 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP CPU: 0 UID: 0 PID: 7927 Comm: kworker/u62:1 Not tainted 6.14.0-rc3+ #189 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 Workqueue: ib-comp-unb-wq ib_cq_poll_work [ib_core] RIP: 0010:mlx5_ib_poll_cq+0x4c7/0xd90 [mlx5_ib] Code: 03 00 00 8d 58 ff 21 cb 66 39 d3 74 39 48 c7 c7 3c 89 6e a0 0f b7 db e8 b7 d2 b3 e0 49 8b 86 60 03 00 00 48 c7 c7 4a 89 6e a0 <0f> b7 5c 98 02 e8 9f d2 b3 e0 41 0f b7 86 78 03 00 00 83 e8 01 21 RSP: 0018:ffff88810511bd60 EFLAGS: 00010046 RAX: 0000000000000010 RBX: 0000000000000000 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffff88885fa1b3c0 RDI: ffffffffa06e894a RBP: 00000000000000b0 R08: 0000000000000000 R09: ffff88810511bc10 R10: 0000000000000001 R11: 0000000000000001 R12: ffff88810d593000 R13: ffff88810e579108 R14: ffff888105146000 R15: 00000000000000b0 FS: 0000000000000000(0000) GS:ffff88885fa00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000012 CR3: 00000001077e6001 CR4: 0000000000370eb0 Call Trace: <TASK> ? __die+0x20/0x60 ? page_fault_oops+0x150/0x3e0 ? exc_page_fault+0x74/0x130 ? asm_exc_page_fault+0x22/0x30 ? mlx5_ib_poll_cq+0x4c7/0xd90 [mlx5_ib] __ib_process_cq+0x5a/0x150 [ib_core] ib_cq_poll_work+0x31/0x90 [ib_core] process_one_work+0x169/0x320 worker_thread+0x288/0x3a0 ? work_busy+0xb0/0xb0 kthread+0xd7/0x1f0 ? kthreads_online_cpu+0x130/0x130 ? kthreads_online_cpu+0x130/0x130 ret_from_fork+0x2d/0x50 ? kthreads_online_cpu+0x130/0x130 ret_from_fork_asm+0x11/0x20 </TASK> Уязвимость компонента RDMA/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/erdma: Prevent use-after-free in erdma_accept_newconn() After the erdma_cep_put(new_cep) being called, new_cep will be freed, and the following dereference will cause a UAF problem. Fix this issue. Уязвимость функции erdma_accept_newconn() компонента drivers/infiniband/hw/erdma/erdma_cm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Don't expose hw_counters outside of init net namespace Commit 467f432a521a ("RDMA/core: Split port and device counter sysfs attributes") accidentally almost exposed hw counters to non-init net namespaces. It didn't expose them fully, as an attempt to read any of those counters leads to a crash like this one: [42021.807566] BUG: kernel NULL pointer dereference, address: 0000000000000028 [42021.814463] #PF: supervisor read access in kernel mode [42021.819549] #PF: error_code(0x0000) - not-present page [42021.824636] PGD 0 P4D 0 [42021.827145] Oops: 0000 [#1] SMP PTI [42021.830598] CPU: 82 PID: 2843922 Comm: switchto-defaul Kdump: loaded Tainted: G S W I XXX [42021.841697] Hardware name: XXX [42021.849619] RIP: 0010:hw_stat_device_show+0x1e/0x40 [ib_core] [42021.855362] Code: 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa 0f 1f 44 00 00 49 89 d0 4c 8b 5e 20 48 8b 8f b8 04 00 00 48 81 c7 f0 fa ff ff <48> 8b 41 28 48 29 ce 48 83 c6 d0 48 c1 ee 04 69 d6 ab aa aa aa 48 [42021.873931] RSP: 0018:ffff97fe90f03da0 EFLAGS: 00010287 [42021.879108] RAX: ffff9406988a8c60 RBX: ffff940e1072d438 RCX: 0000000000000000 [42021.886169] RDX: ffff94085f1aa000 RSI: ffff93c6cbbdbcb0 RDI: ffff940c7517aef0 [42021.893230] RBP: ffff97fe90f03e70 R08: ffff94085f1aa000 R09: 0000000000000000 [42021.900294] R10: ffff94085f1aa000 R11: ffffffffc0775680 R12: ffffffff87ca2530 [42021.907355] R13: ffff940651602840 R14: ffff93c6cbbdbcb0 R15: ffff94085f1aa000 [42021.914418] FS: 00007fda1a3b9700(0000) GS:ffff94453fb80000(0000) knlGS:0000000000000000 [42021.922423] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [42021.928130] CR2: 0000000000000028 CR3: 00000042dcfb8003 CR4: 00000000003726f0 [42021.935194] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [42021.942257] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [42021.949324] Call Trace: [42021.951756] <TASK> [42021.953842] [<ffffffff86c58674>] ? show_regs+0x64/0x70 [42021.959030] [<ffffffff86c58468>] ? __die+0x78/0xc0 [42021.963874] [<ffffffff86c9ef75>] ? page_fault_oops+0x2b5/0x3b0 [42021.969749] [<ffffffff87674b92>] ? exc_page_fault+0x1a2/0x3c0 [42021.975549] [<ffffffff87801326>] ? asm_exc_page_fault+0x26/0x30 [42021.981517] [<ffffffffc0775680>] ? __pfx_show_hw_stats+0x10/0x10 [ib_core] [42021.988482] [<ffffffffc077564e>] ? hw_stat_device_show+0x1e/0x40 [ib_core] [42021.995438] [<ffffffff86ac7f8e>] dev_attr_show+0x1e/0x50 [42022.000803] [<ffffffff86a3eeb1>] sysfs_kf_seq_show+0x81/0xe0 [42022.006508] [<ffffffff86a11134>] seq_read_iter+0xf4/0x410 [42022.011954] [<ffffffff869f4b2e>] vfs_read+0x16e/0x2f0 [42022.017058] [<ffffffff869f50ee>] ksys_read+0x6e/0xe0 [42022.022073] [<ffffffff8766f1ca>] do_syscall_64+0x6a/0xa0 [42022.027441] [<ffffffff8780013b>] entry_SYSCALL_64_after_hwframe+0x78/0xe2 The problem can be reproduced using the following steps: ip netns add foo ip netns exec foo bash cat /sys/class/infiniband/mlx4_0/hw_counters/* The panic occurs because of casting the device pointer into an ib_device pointer using container_of() in hw_stat_device_show() is wrong and leads to a memory corruption. However the real problem is that hw counters should never been exposed outside of the non-init net namespace. Fix this by saving the index of the corresponding attribute group (it might be 1 or 2 depending on the presence of driver-specific attributes) and zeroing the pointer to hw_counters group for compat devices during the initialization. With this fix applied hw_counters are not available in a non-init net namespace: find /sys/class/infiniband/mlx4_0/ -name hw_counters /sys/class/infiniband/mlx4_0/ports/1/hw_counters /sys/class/infiniband/mlx4_0/ports/2/hw_counters /sys/class/infiniband/mlx4_0/hw_counters ip netns add foo ip netns exec foo bash find /sys/class/infiniband/mlx4_0/ -name hw_counters Уязвимость компонента RDMA/core ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: avoid NPD when ASIC does not support DMUB ctx->dmub_srv will de NULL if the ASIC does not support DMUB, which is tested in dm_dmub_sw_init. However, it will be dereferenced in dmub_hw_lock_mgr_cmd if should_use_dmub_lock returns true. This has been the case since dmub support has been added for PSR1. Fix this by checking for dmub_srv in should_use_dmub_lock. [ 37.440832] BUG: kernel NULL pointer dereference, address: 0000000000000058 [ 37.447808] #PF: supervisor read access in kernel mode [ 37.452959] #PF: error_code(0x0000) - not-present page [ 37.458112] PGD 0 P4D 0 [ 37.460662] Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI [ 37.465553] CPU: 2 UID: 1000 PID: 1745 Comm: DrmThread Not tainted 6.14.0-rc1-00003-gd62e938120f0 #23 99720e1cb1e0fc4773b8513150932a07de3c6e88 [ 37.478324] Hardware name: Google Morphius/Morphius, BIOS Google_Morphius.13434.858.0 10/26/2023 [ 37.487103] RIP: 0010:dmub_hw_lock_mgr_cmd+0x77/0xb0 [ 37.492074] Code: 44 24 0e 00 00 00 00 48 c7 04 24 45 00 00 0c 40 88 74 24 0d 0f b6 02 88 44 24 0c 8b 01 89 44 24 08 85 f6 75 05 c6 44 24 0e 01 <48> 8b 7f 58 48 89 e6 ba 01 00 00 00 e8 08 3c 2a 00 65 48 8b 04 5 [ 37.510822] RSP: 0018:ffff969442853300 EFLAGS: 00010202 [ 37.516052] RAX: 0000000000000000 RBX: ffff92db03000000 RCX: ffff969442853358 [ 37.523185] RDX: ffff969442853368 RSI: 0000000000000001 RDI: 0000000000000000 [ 37.530322] RBP: 0000000000000001 R08: 00000000000004a7 R09: 00000000000004a5 [ 37.537453] R10: 0000000000000476 R11: 0000000000000062 R12: ffff92db0ade8000 [ 37.544589] R13: ffff92da01180ae0 R14: ffff92da011802a8 R15: ffff92db03000000 [ 37.551725] FS: 0000784a9cdfc6c0(0000) GS:ffff92db2af00000(0000) knlGS:0000000000000000 [ 37.559814] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 37.565562] CR2: 0000000000000058 CR3: 0000000112b1c000 CR4: 00000000003506f0 [ 37.572697] Call Trace: [ 37.575152] <TASK> [ 37.577258] ? __die_body+0x66/0xb0 [ 37.580756] ? page_fault_oops+0x3e7/0x4a0 [ 37.584861] ? exc_page_fault+0x3e/0xe0 [ 37.588706] ? exc_page_fault+0x5c/0xe0 [ 37.592550] ? asm_exc_page_fault+0x22/0x30 [ 37.596742] ? dmub_hw_lock_mgr_cmd+0x77/0xb0 [ 37.601107] dcn10_cursor_lock+0x1e1/0x240 [ 37.605211] program_cursor_attributes+0x81/0x190 [ 37.609923] commit_planes_for_stream+0x998/0x1ef0 [ 37.614722] update_planes_and_stream_v2+0x41e/0x5c0 [ 37.619703] dc_update_planes_and_stream+0x78/0x140 [ 37.624588] amdgpu_dm_atomic_commit_tail+0x4362/0x49f0 [ 37.629832] ? srso_return_thunk+0x5/0x5f [ 37.633847] ? mark_held_locks+0x6d/0xd0 [ 37.637774] ? _raw_spin_unlock_irq+0x24/0x50 [ 37.642135] ? srso_return_thunk+0x5/0x5f [ 37.646148] ? lockdep_hardirqs_on+0x95/0x150 [ 37.650510] ? srso_return_thunk+0x5/0x5f [ 37.654522] ? _raw_spin_unlock_irq+0x2f/0x50 [ 37.658883] ? srso_return_thunk+0x5/0x5f [ 37.662897] ? wait_for_common+0x186/0x1c0 [ 37.666998] ? srso_return_thunk+0x5/0x5f [ 37.671009] ? drm_crtc_next_vblank_start+0xc3/0x170 [ 37.675983] commit_tail+0xf5/0x1c0 [ 37.679478] drm_atomic_helper_commit+0x2a2/0x2b0 [ 37.684186] drm_atomic_commit+0xd6/0x100 [ 37.688199] ? __cfi___drm_printfn_info+0x10/0x10 [ 37.692911] drm_atomic_helper_update_plane+0xe5/0x130 [ 37.698054] drm_mode_cursor_common+0x501/0x670 [ 37.702600] ? __cfi_drm_mode_cursor_ioctl+0x10/0x10 [ 37.707572] drm_mode_cursor_ioctl+0x48/0x70 [ 37.711851] drm_ioctl_kernel+0xf2/0x150 [ 37.715781] drm_ioctl+0x363/0x590 [ 37.719189] ? __cfi_drm_mode_cursor_ioctl+0x10/0x10 [ 37.724165] amdgpu_drm_ioctl+0x41/0x80 [ 37.728013] __se_sys_ioctl+0x7f/0xd0 [ 37.731685] do_syscall_64+0x87/0x100 [ 37.735355] ? vma_end_read+0x12/0xe0 [ 37.739024] ? srso_return_thunk+0x5/0x5f [ 37.743041] ? find_held_lock+0x47/0xf0 [ 37.746884] ? vma_end_read+0x12/0xe0 [ 37.750552] ? srso_return_thunk+0x5/0 ---truncated--- Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: brcmstb: Fix error path after a call to regulator_bulk_get() If the regulator_bulk_get() returns an error and no regulators are created, we need to set their number to zero. If we don't do this and the PCIe link up fails, a call to the regulator_bulk_free() will result in a kernel panic. While at it, print the error value, as we cannot return an error upwards as the kernel will WARN() on an error from add_bus(). [kwilczynski: commit log, use comma in the message to match style with other similar messages] Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vkms: Fix use after free and double free on init error If the driver initialization fails, the vkms_exit() function might access an uninitialized or freed default_config pointer and it might double free it. Fix both possible errors by initializing default_config only when the driver initialization succeeded. Уязвимость компонента drivers/gpu/drm/vkms ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: init wiphy_work before allocating rfkill fails syzbort reported a uninitialize wiphy_work_lock in cfg80211_dev_free. [1] After rfkill allocation fails, the wiphy release process will be performed, which will cause cfg80211_dev_free to access the uninitialized wiphy_work related data. Move the initialization of wiphy_work to before rfkill initialization to avoid this issue. [1] INFO: trying to register non-static key. The code is fine but needs lockdep annotation, or maybe you didn't initialize this object before use? turning off the locking correctness validator. CPU: 0 UID: 0 PID: 5935 Comm: syz-executor550 Not tainted 6.14.0-rc6-syzkaller-00103-g4003c9e78778 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 assign_lock_key kernel/locking/lockdep.c:983 [inline] register_lock_class+0xc39/0x1240 kernel/locking/lockdep.c:1297 __lock_acquire+0x135/0x3c40 kernel/locking/lockdep.c:5103 lock_acquire.part.0+0x11b/0x380 kernel/locking/lockdep.c:5851 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] _raw_spin_lock_irqsave+0x3a/0x60 kernel/locking/spinlock.c:162 cfg80211_dev_free+0x30/0x3d0 net/wireless/core.c:1196 device_release+0xa1/0x240 drivers/base/core.c:2568 kobject_cleanup lib/kobject.c:689 [inline] kobject_release lib/kobject.c:720 [inline] kref_put include/linux/kref.h:65 [inline] kobject_put+0x1e4/0x5a0 lib/kobject.c:737 put_device+0x1f/0x30 drivers/base/core.c:3774 wiphy_free net/wireless/core.c:1224 [inline] wiphy_new_nm+0x1c1f/0x2160 net/wireless/core.c:562 ieee80211_alloc_hw_nm+0x1b7a/0x2260 net/mac80211/main.c:835 mac80211_hwsim_new_radio+0x1d6/0x54e0 drivers/net/wireless/virtual/mac80211_hwsim.c:5185 hwsim_new_radio_nl+0xb42/0x12b0 drivers/net/wireless/virtual/mac80211_hwsim.c:6242 genl_family_rcv_msg_doit+0x202/0x2f0 net/netlink/genetlink.c:1115 genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x565/0x800 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x16b/0x440 net/netlink/af_netlink.c:2533 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1312 [inline] netlink_unicast+0x53c/0x7f0 net/netlink/af_netlink.c:1338 netlink_sendmsg+0x8b8/0xd70 net/netlink/af_netlink.c:1882 sock_sendmsg_nosec net/socket.c:718 [inline] __sock_sendmsg net/socket.c:733 [inline] ____sys_sendmsg+0xaaf/0xc90 net/socket.c:2573 ___sys_sendmsg+0x135/0x1e0 net/socket.c:2627 __sys_sendmsg+0x16e/0x220 net/socket.c:2659 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 Close: https://syzkaller.appspot.com/bug?extid=aaf0488c83d1d5f4f029 Уязвимость компонента core.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md: fix mddev uaf while iterating all_mddevs list While iterating all_mddevs list from md_notify_reboot() and md_exit(), list_for_each_entry_safe is used, and this can race with deletint the next mddev, causing UAF: t1: spin_lock //list_for_each_entry_safe(mddev, n, ...) mddev_get(mddev1) // assume mddev2 is the next entry spin_unlock t2: //remove mddev2 ... mddev_free spin_lock list_del spin_unlock kfree(mddev2) mddev_put(mddev1) spin_lock //continue dereference mddev2->all_mddevs The old helper for_each_mddev() actually grab the reference of mddev2 while holding the lock, to prevent from being freed. This problem can be fixed the same way, however, the code will be complex. Hence switch to use list_for_each_entry, in this case mddev_put() can free the mddev1 and it's not safe as well. Refer to md_seq_show(), also factor out a helper mddev_put_locked() to fix this problem. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 apache2 In some mod_ssl configurations on Apache HTTP Server 2.4.35 through to 2.4.63, an access control bypass by trusted clients is possible using TLS 1.3 session resumption. Configurations are affected when mod_ssl is configured for multiple virtual hosts, with each restricted to a different set of trusted client certificates (for example with a different SSLCACertificateFile/Path setting). In such a case, a client trusted to access one virtual host may be able to access another virtual host, if SSLStrictSNIVHostCheck is not enabled in either virtual host. Уязвимость функции mod_ssl веб-сервера Apache HTTP Server связана с ошибками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) - Уязвимость возможно реализовать, если сервер использует TLS 1.3 и поддерживает возобновление сессий в конфигурациях с несколькими виртуальными хостами, каждый из которых ограничен разными наборами доверенных клиентских сертификатов. Чтобы изменить конфигурацию Apache: - откройте файл `/etc/apache2/apache2.conf` или `/etc/httpd/conf/httpd.conf` - добавьте в конфигурацию каждого виртуального хоста параметр `SSLStrictSNIVHostCheck on` - перезапустите сервер `sudo systemctl restart apache2` - Замените протокол TLS 1.3 на TLS 1.2. В файле `ssl.conf` добавить: `SSLProtocol TLSv1.2` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thermal: int340x: Add NULL check for adev Not all devices have an ACPI companion fwnode, so adev might be NULL. This is similar to the commit cd2fd6eab480 ("platform/x86: int3472: Check for adev == NULL"). Add a check for adev not being set and return -ENODEV in that case to avoid a possible NULL pointer deref in int3402_thermal_probe(). Note, under the same directory, int3400_thermal_probe() has such a check. [ rjw: Subject edit, added Fixes: ] Уязвимость компонента int3402_thermal.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: watch_queue: fix pipe accounting mismatch Currently, watch_queue_set_size() modifies the pipe buffers charged to user->pipe_bufs without updating the pipe->nr_accounted on the pipe itself, due to the if (!pipe_has_watch_queue()) test in pipe_resize_ring(). This means that when the pipe is ultimately freed, we decrement user->pipe_bufs by something other than what than we had charged to it, potentially leading to an underflow. This in turn can cause subsequent too_many_pipe_buffers_soft() tests to fail with -EPERM. To remedy this, explicitly account for the pipe usage in watch_queue_set_size() to match the number set via account_pipe_buffers() (It's unclear why watch_queue_set_size() does not update nr_accounted; it may be due to intentional overprovisioning in watch_queue_set_size()?) Уязвимость ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: pci_endpoint_test: Avoid issue of interrupts remaining after request_irq error After devm_request_irq() fails with error in pci_endpoint_test_request_irq(), the pci_endpoint_test_free_irq_vectors() is called assuming that all IRQs have been released. However, some requested IRQs remain unreleased, so there are still /proc/irq/* entries remaining, and this results in WARN() with the following message: remove_proc_entry: removing non-empty directory 'irq/30', leaking at least 'pci-endpoint-test.0' WARNING: CPU: 0 PID: 202 at fs/proc/generic.c:719 remove_proc_entry +0x190/0x19c To solve this issue, set the number of remaining IRQs to test->num_irqs, and release IRQs in advance by calling pci_endpoint_test_release_irq(). [kwilczynski: commit log] Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Acquire SRCU in KVM_GET_MP_STATE to protect guest memory accesses Acquire a lock on kvm->srcu when userspace is getting MP state to handle a rather extreme edge case where "accepting" APIC events, i.e. processing pending INIT or SIPI, can trigger accesses to guest memory. If the vCPU is in L2 with INIT *and* a TRIPLE_FAULT request pending, then getting MP state will trigger a nested VM-Exit by way of ->check_nested_events(), and emuating the nested VM-Exit can access guest memory. The splat was originally hit by syzkaller on a Google-internal kernel, and reproduced on an upstream kernel by hacking the triple_fault_event_test selftest to stuff a pending INIT, store an MSR on VM-Exit (to generate a memory access on VMX), and do vcpu_mp_state_get() to trigger the scenario. ============================= WARNING: suspicious RCU usage 6.14.0-rc3-b112d356288b-vmx/pi_lockdep_false_pos-lock #3 Not tainted ----------------------------- include/linux/kvm_host.h:1058 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by triple_fault_ev/1256: #0: ffff88810df5a330 (&vcpu->mutex){+.+.}-{4:4}, at: kvm_vcpu_ioctl+0x8b/0x9a0 [kvm] stack backtrace: CPU: 11 UID: 1000 PID: 1256 Comm: triple_fault_ev Not tainted 6.14.0-rc3-b112d356288b-vmx #3 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 Call Trace: <TASK> dump_stack_lvl+0x7f/0x90 lockdep_rcu_suspicious+0x144/0x190 kvm_vcpu_gfn_to_memslot+0x156/0x180 [kvm] kvm_vcpu_read_guest+0x3e/0x90 [kvm] read_and_check_msr_entry+0x2e/0x180 [kvm_intel] __nested_vmx_vmexit+0x550/0xde0 [kvm_intel] kvm_check_nested_events+0x1b/0x30 [kvm] kvm_apic_accept_events+0x33/0x100 [kvm] kvm_arch_vcpu_ioctl_get_mpstate+0x30/0x1d0 [kvm] kvm_vcpu_ioctl+0x33e/0x9a0 [kvm] __x64_sys_ioctl+0x8b/0xb0 do_syscall_64+0x6c/0x170 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> Уязвимость компонента KVM ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: detect and prevent references to a freed transport in sendmsg sctp_sendmsg() re-uses associations and transports when possible by doing a lookup based on the socket endpoint and the message destination address, and then sctp_sendmsg_to_asoc() sets the selected transport in all the message chunks to be sent. There's a possible race condition if another thread triggers the removal of that selected transport, for instance, by explicitly unbinding an address with setsockopt(SCTP_SOCKOPT_BINDX_REM), after the chunks have been set up and before the message is sent. This can happen if the send buffer is full, during the period when the sender thread temporarily releases the socket lock in sctp_wait_for_sndbuf(). This causes the access to the transport data in sctp_outq_select_transport(), when the association outqueue is flushed, to result in a use-after-free read. This change avoids this scenario by having sctp_transport_free() signal the freeing of the transport, tagging it as "dead". In order to do this, the patch restores the "dead" bit in struct sctp_transport, which was removed in commit 47faa1e4c50e ("sctp: remove the dead field of sctp_transport"). Then, in the scenario where the sender thread has released the socket lock in sctp_wait_for_sndbuf(), the bit is checked again after re-acquiring the socket lock to detect the deletion. This is done while holding a reference to the transport to prevent it from being freed in the process. If the transport was deleted while the socket lock was relinquished, sctp_sendmsg_to_asoc() will return -EAGAIN to let userspace retry the send. The bug was found by a private syzbot instance (see the error report [1] and the C reproducer that triggers it [2]). Уязвимость компонента sctp ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: backlight: led_bl: Hold led_access lock when calling led_sysfs_disable() Lockdep detects the following issue on led-backlight removal: [ 142.315935] ------------[ cut here ]------------ [ 142.315954] WARNING: CPU: 2 PID: 292 at drivers/leds/led-core.c:455 led_sysfs_enable+0x54/0x80 ... [ 142.500725] Call trace: [ 142.503176] led_sysfs_enable+0x54/0x80 (P) [ 142.507370] led_bl_remove+0x80/0xa8 [led_bl] [ 142.511742] platform_remove+0x30/0x58 [ 142.515501] device_remove+0x54/0x90 ... Indeed, led_sysfs_enable() has to be called with the led_access lock held. Hold the lock when calling led_sysfs_disable(). Уязвимость компонента backlight ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix NULL pointer in can_accept_new_subflow When testing valkey benchmark tool with MPTCP, the kernel panics in 'mptcp_can_accept_new_subflow' because subflow_req->msk is NULL. Call trace: mptcp_can_accept_new_subflow (./net/mptcp/subflow.c:63 (discriminator 4)) (P) subflow_syn_recv_sock (./net/mptcp/subflow.c:854) tcp_check_req (./net/ipv4/tcp_minisocks.c:863) tcp_v4_rcv (./net/ipv4/tcp_ipv4.c:2268) ip_protocol_deliver_rcu (./net/ipv4/ip_input.c:207) ip_local_deliver_finish (./net/ipv4/ip_input.c:234) ip_local_deliver (./net/ipv4/ip_input.c:254) ip_rcv_finish (./net/ipv4/ip_input.c:449) ... According to the debug log, the same req received two SYN-ACK in a very short time, very likely because the client retransmits the syn ack due to multiple reasons. Even if the packets are transmitted with a relevant time interval, they can be processed by the server on different CPUs concurrently). The 'subflow_req->msk' ownership is transferred to the subflow the first, and there will be a risk of a null pointer dereference here. This patch fixes this issue by moving the 'subflow_req->msk' under the `own_req == true` conditional. Note that the !msk check in subflow_hmac_valid() can be dropped, because the same check already exists under the own_req mpj branch where the code has been moved to. Уязвимость компонента mptcp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mfd: ene-kb3930: Fix a potential NULL pointer dereference The off_gpios could be NULL. Add missing check in the kb3930_probe(). This is similar to the issue fixed in commit b1ba8bcb2d1f ("backlight: hx8357: Fix potential NULL pointer dereference"). This was detected by our static analysis tool. Уязвимость компонента ene-kb3930 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i3c: Add NULL pointer check in i3c_master_queue_ibi() The I3C master driver may receive an IBI from a target device that has not been probed yet. In such cases, the master calls `i3c_master_queue_ibi()` to queue an IBI work task, leading to "Unable to handle kernel read from unreadable memory" and resulting in a kernel panic. Typical IBI handling flow: 1. The I3C master scans target devices and probes their respective drivers. 2. The target device driver calls `i3c_device_request_ibi()` to enable IBI and assigns `dev->ibi = ibi`. 3. The I3C master receives an IBI from the target device and calls `i3c_master_queue_ibi()` to queue the target device driver’s IBI handler task. However, since target device events are asynchronous to the I3C probe sequence, step 3 may occur before step 2, causing `dev->ibi` to be `NULL`, leading to a kernel panic. Add a NULL pointer check in `i3c_master_queue_ibi()` to prevent accessing an uninitialized `dev->ibi`, ensuring stability. Уязвимость компонента i3c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: samsung: exynos-chipid: Add NULL pointer check in exynos_chipid_probe() soc_dev_attr->revision could be NULL, thus, a pointer check is added to prevent potential NULL pointer dereference. This is similar to the fix in commit 3027e7b15b02 ("ice: Fix some null pointer dereference issues in ice_ptp.c"). This issue is found by our static analysis tool. Уязвимость ядра операционной системы Linux связана с ошибками разыменования нулеового указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix off-by-one error in do_split Syzkaller detected a use-after-free issue in ext4_insert_dentry that was caused by out-of-bounds access due to incorrect splitting in do_split. BUG: KASAN: use-after-free in ext4_insert_dentry+0x36a/0x6d0 fs/ext4/namei.c:2109 Write of size 251 at addr ffff888074572f14 by task syz-executor335/5847 CPU: 0 UID: 0 PID: 5847 Comm: syz-executor335 Not tainted 6.12.0-rc6-syzkaller-00318-ga9cda7c0ffed #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/30/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 kasan_check_range+0x282/0x290 mm/kasan/generic.c:189 __asan_memcpy+0x40/0x70 mm/kasan/shadow.c:106 ext4_insert_dentry+0x36a/0x6d0 fs/ext4/namei.c:2109 add_dirent_to_buf+0x3d9/0x750 fs/ext4/namei.c:2154 make_indexed_dir+0xf98/0x1600 fs/ext4/namei.c:2351 ext4_add_entry+0x222a/0x25d0 fs/ext4/namei.c:2455 ext4_add_nondir+0x8d/0x290 fs/ext4/namei.c:2796 ext4_symlink+0x920/0xb50 fs/ext4/namei.c:3431 vfs_symlink+0x137/0x2e0 fs/namei.c:4615 do_symlinkat+0x222/0x3a0 fs/namei.c:4641 __do_sys_symlink fs/namei.c:4662 [inline] __se_sys_symlink fs/namei.c:4660 [inline] __x64_sys_symlink+0x7a/0x90 fs/namei.c:4660 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> The following loop is located right above 'if' statement. for (i = count-1; i >= 0; i--) { /* is more than half of this entry in 2nd half of the block? */ if (size + map[i].size/2 > blocksize/2) break; size += map[i].size; move++; } 'i' in this case could go down to -1, in which case sum of active entries wouldn't exceed half the block size, but previous behaviour would also do split in half if sum would exceed at the very last block, which in case of having too many long name files in a single block could lead to out-of-bounds access and following use-after-free. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: host: Fix race between unprepare and queue_buf A client driver may use mhi_unprepare_from_transfer() to quiesce incoming data during the client driver's tear down. The client driver might also be processing data at the same time, resulting in a call to mhi_queue_buf() which will invoke mhi_gen_tre(). If mhi_gen_tre() runs after mhi_unprepare_from_transfer() has torn down the channel, a panic will occur due to an invalid dereference leading to a page fault. This occurs because mhi_gen_tre() does not verify the channel state after locking it. Fix this by having mhi_gen_tre() confirm the channel state is valid, or return error to avoid accessing deinitialized data. [mani: added stable tag] Уязвимость ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi_parser: refactor hfi packet parsing logic words_count denotes the number of words in total payload, while data points to payload of various property within it. When words_count reaches last word, data can access memory beyond the total payload. This can lead to OOB access. With this patch, the utility api for handling individual properties now returns the size of data consumed. Accordingly remaining bytes are calculated before parsing the payload, thereby eliminates the OOB access possibilities. Уязвимость компонента hfi_parser ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi_parser: add check to avoid out of bound access There is a possibility that init_codecs is invoked multiple times during manipulated payload from video firmware. In such case, if codecs_count can get incremented to value more than MAX_CODEC_NUM, there can be OOB access. Reset the count so that it always starts from beginning. Уязвимость компонента hfi_parser ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi: add check to handle incorrect queue size qsize represents size of shared queued between driver and video firmware. Firmware can modify this value to an invalid large value. In such situation, empty_space will be bigger than the space actually available. Since new_wr_idx is not checked, so the following code will result in an OOB write. ... qsize = qhdr->q_size if (wr_idx >= rd_idx) empty_space = qsize - (wr_idx - rd_idx) .... if (new_wr_idx < qsize) { memcpy(wr_ptr, packet, dwords << 2) --> OOB write Add check to ensure qsize is within the allocated size while reading and writing packets into the queue. Уязвимость компонента venus ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi: add a check to handle OOB in sfr region sfr->buf_size is in shared memory and can be modified by malicious user. OOB write is possible when the size is made higher than actual sfr data buffer. Cap the size to allocated size for such cases. Уязвимость компонента venus ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: vmd: Make vmd_dev::cfg_lock a raw_spinlock_t type The access to the PCI config space via pci_ops::read and pci_ops::write is a low-level hardware access. The functions can be accessed with disabled interrupts even on PREEMPT_RT. The pci_lock is a raw_spinlock_t for this purpose. A spinlock_t becomes a sleeping lock on PREEMPT_RT, so it cannot be acquired with disabled interrupts. The vmd_dev::cfg_lock is accessed in the same context as the pci_lock. Make vmd_dev::cfg_lock a raw_spinlock_t type so it can be used with interrupts disabled. This was reported as: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 Call Trace: rt_spin_lock+0x4e/0x130 vmd_pci_read+0x8d/0x100 [vmd] pci_user_read_config_byte+0x6f/0xe0 pci_read_config+0xfe/0x290 sysfs_kf_bin_read+0x68/0x90 [bigeasy: reword commit message] Tested-off-by: Luis Claudio R. Goncalves <lgoncalv@redhat.com> [kwilczynski: commit log] [bhelgaas: add back report info from https://lore.kernel.org/lkml/20241218115951.83062-1-ryotkkr98@gmail.com/] Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: vlan: don't propagate flags on open With the device instance lock, there is now a possibility of a deadlock: [ 1.211455] ============================================ [ 1.211571] WARNING: possible recursive locking detected [ 1.211687] 6.14.0-rc5-01215-g032756b4ca7a-dirty #5 Not tainted [ 1.211823] -------------------------------------------- [ 1.211936] ip/184 is trying to acquire lock: [ 1.212032] ffff8881024a4c30 (&dev->lock){+.+.}-{4:4}, at: dev_set_allmulti+0x4e/0xb0 [ 1.212207] [ 1.212207] but task is already holding lock: [ 1.212332] ffff8881024a4c30 (&dev->lock){+.+.}-{4:4}, at: dev_open+0x50/0xb0 [ 1.212487] [ 1.212487] other info that might help us debug this: [ 1.212626] Possible unsafe locking scenario: [ 1.212626] [ 1.212751] CPU0 [ 1.212815] ---- [ 1.212871] lock(&dev->lock); [ 1.212944] lock(&dev->lock); [ 1.213016] [ 1.213016] *** DEADLOCK *** [ 1.213016] [ 1.213143] May be due to missing lock nesting notation [ 1.213143] [ 1.213294] 3 locks held by ip/184: [ 1.213371] #0: ffffffff838b53e0 (rtnl_mutex){+.+.}-{4:4}, at: rtnl_nets_lock+0x1b/0xa0 [ 1.213543] #1: ffffffff84e5fc70 (&net->rtnl_mutex){+.+.}-{4:4}, at: rtnl_nets_lock+0x37/0xa0 [ 1.213727] #2: ffff8881024a4c30 (&dev->lock){+.+.}-{4:4}, at: dev_open+0x50/0xb0 [ 1.213895] [ 1.213895] stack backtrace: [ 1.213991] CPU: 0 UID: 0 PID: 184 Comm: ip Not tainted 6.14.0-rc5-01215-g032756b4ca7a-dirty #5 [ 1.213993] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 [ 1.213994] Call Trace: [ 1.213995] <TASK> [ 1.213996] dump_stack_lvl+0x8e/0xd0 [ 1.214000] print_deadlock_bug+0x28b/0x2a0 [ 1.214020] lock_acquire+0xea/0x2a0 [ 1.214027] __mutex_lock+0xbf/0xd40 [ 1.214038] dev_set_allmulti+0x4e/0xb0 # real_dev->flags & IFF_ALLMULTI [ 1.214040] vlan_dev_open+0xa5/0x170 # ndo_open on vlandev [ 1.214042] __dev_open+0x145/0x270 [ 1.214046] __dev_change_flags+0xb0/0x1e0 [ 1.214051] netif_change_flags+0x22/0x60 # IFF_UP vlandev [ 1.214053] dev_change_flags+0x61/0xb0 # for each device in group from dev->vlan_info [ 1.214055] vlan_device_event+0x766/0x7c0 # on netdevsim0 [ 1.214058] notifier_call_chain+0x78/0x120 [ 1.214062] netif_open+0x6d/0x90 [ 1.214064] dev_open+0x5b/0xb0 # locks netdevsim0 [ 1.214066] bond_enslave+0x64c/0x1230 [ 1.214075] do_set_master+0x175/0x1e0 # on netdevsim0 [ 1.214077] do_setlink+0x516/0x13b0 [ 1.214094] rtnl_newlink+0xaba/0xb80 [ 1.214132] rtnetlink_rcv_msg+0x440/0x490 [ 1.214144] netlink_rcv_skb+0xeb/0x120 [ 1.214150] netlink_unicast+0x1f9/0x320 [ 1.214153] netlink_sendmsg+0x346/0x3f0 [ 1.214157] __sock_sendmsg+0x86/0xb0 [ 1.214160] ____sys_sendmsg+0x1c8/0x220 [ 1.214164] ___sys_sendmsg+0x28f/0x2d0 [ 1.214179] __x64_sys_sendmsg+0xef/0x140 [ 1.214184] do_syscall_64+0xec/0x1d0 [ 1.214190] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 1.214191] RIP: 0033:0x7f2d1b4a7e56 Device setup: netdevsim0 (down) ^ ^ bond netdevsim1.100@netdevsim1 allmulticast=on (down) When we enslave the lower device (netdevsim0) which has a vlan, we propagate vlan's allmuti/promisc flags during ndo_open. This causes (re)locking on of the real_dev. Propagate allmulti/promisc on flags change, not on the open. There is a slight semantics change that vlans that are down now propagate the flags, but this seems unlikely to result in the real issues. Reproducer: echo 0 1 > /sys/bus/netdevsim/new_device dev_path=$(ls -d /sys/bus/netdevsim/devices/netdevsim0/net/*) dev=$(echo $dev_path | rev | cut -d/ -f1 | rev) ip link set dev $dev name netdevsim0 ip link set dev netdevsim0 up ip link add link netdevsim0 name netdevsim0.100 type vlan id 100 ip link set dev netdevsim0.100 allm ---truncated--- Уязвимость компонента vlan ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 pam-pkcs11 PAM-PKCS#11 is a Linux-PAM login module that allows a X.509 certificate based user login. Prior to version 0.6.13, if cert_policy is set to none (the default value), then pam_pkcs11 will only check if the user is capable of logging into the token. An attacker may create a different token with the user's public data (e.g. the user's certificate) and a PIN known to the attacker. If no signature with the private key is required, then the attacker may now login as user with that created token. The default to *not* check the private key's signature has been changed with commit commi6638576892b59a99389043c90a1e7dd4d783b921, so that all versions starting with pam_pkcs11-0.6.0 should be affected. As a workaround, in `pam_pkcs11.conf`, set at least `cert_policy = signature;`. Уязвимость модуля PAM для использования смарт-карт PAM PKCS связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-287')] None None Astra Linux 3.8 ruby3.1 The attack vector is a potential Denial of Service (DoS). The vulnerability is caused by an insufficient check on the length of a decompressed domain name within a DNS packet. An attacker can craft a malicious DNS packet containing a highly compressed domain name. When the resolv library parses such a packet, the name decompression process consumes a large amount of CPU resources, as the library does not limit the resulting length of the name. This resource consumption can cause the application thread to become unresponsive, resulting in a Denial of Service condition. Уязвимость библиотеки resolv языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных DNS-пакетов [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 krb5 In MIT Kerberos 5 (aka krb5) before 1.22 (with incremental propagation), there is an integer overflow for a large update size to resize() in kdb_log.c. An authenticated attacker can cause an out-of-bounds write and kadmind daemon crash. Уязвимость сетевого протокола аутентификации Kerberos связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.1) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 3.8 pam-pkcs11 In OpenSC pam_pkcs11 before 0.6.13, pam_sm_authenticate() wrongly returns PAM_IGNORE in many error situations (such as an error triggered by a smartcard before login), allowing authentication bypass. Уязвимость функции pam_sm_authenticate() модуля аутентификации PAM-PKCS#11 операционных систем Linux связана с ошибками аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-393')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=6.7) Astra Linux 3.8 libxslt numbers.c in libxslt before 1.1.43 has a use-after-free because, in nested XPath evaluations, an XPath context node can be modified but never restored. This is related to xsltNumberFormatGetValue, xsltEvalXPathPredicate, xsltEvalXPathStringNs, and xsltComputeSortResultInternal. Уязвимость файла numbers.ct библиотеки libxslt связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H', score=7.8) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 3.8 libxml2 libxml2 before 2.12.10 and 2.13.x before 2.13.6 has a stack-based buffer overflow in xmlSnprintfElements in valid.c. To exploit this, DTD validation must occur for an untrusted document or untrusted DTD. NOTE: this is similar to CVE-2017-9047. Уязвимость функции xmlSnprintfElements() библиотеки libxml2 связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 augeas A vulnerability has been found in Hercules Augeas 1.14.1 and classified as problematic. This vulnerability affects the function re_case_expand of the file src/fa.c. The manipulation of the argument re leads to null pointer dereference. Attacking locally is a requirement. The exploit has been disclosed to the public and may be used. Уязвимость функции re_case_expand компонента src/fa.c инструмента редактирования конфигураций Augeas связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Использовать ПО augeas только на низком или отдельно выделенном уровне целостности - При использовании ПО augeas выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска augeas только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Запускать ПО в изолированной программной среде с применением инструмента Firejail Astra Linux 3.8 openvpn OpenVPN version 2.6.1 through 2.6.13 in server mode using TLS-crypt-v2 allows remote attackers to trigger a denial of service by corrupting and replaying network packets in the early handshake phase Уязвимость функции TLS-crypt-v2 сервера программного обеспечения OpenVPN связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 libxml2 libxml2 before 2.12.10 and 2.13.x before 2.13.6 has a NULL pointer dereference in xmlPatMatch in pattern.c. Уязвимость функции xmlPatMatch() в файле pattern.c библиотеки libxml2 связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 zabbix A Zabbix adminitrator can inject arbitrary SQL during the autoremoval of hosts by inserting malicious SQL in the 'Visible name' field. Уязвимость поля 'Visible name' системы мониторинга Zabbix связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=7.2) - Отключите все действия авторегистрации, которые удаляют хосты. Astra Linux 3.8 freetype An out of bounds write exists in FreeType versions 2.13.0 and below (newer versions of FreeType are not vulnerable) when attempting to parse font subglyph structures related to TrueType GX and variable font files. The vulnerable code assigns a signed short value to an unsigned long and then adds a static value causing it to wrap around and allocate too small of a heap buffer. The code then writes up to 6 signed long integers out of bounds relative to this buffer. This may result in arbitrary code execution. This vulnerability may have been exploited in the wild. Уязвимость библиотеки FreeType связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) - При использовании ПО freetype выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - установливать шрифты только из доверенных источников; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 jinja2 Jinja is an extensible templating engine. Prior to 3.1.6, an oversight in how the Jinja sandboxed environment interacts with the |attr filter allows an attacker that controls the content of a template to execute arbitrary Python code. To exploit the vulnerability, an attacker needs to control the content of a template. Whether that is the case depends on the type of application using Jinja. This vulnerability impacts users of applications which execute untrusted templates. Jinja's sandbox does catch calls to str.format and ensures they don't escape the sandbox. However, it's possible to use the |attr filter to get a reference to a string's plain format method, bypassing the sandbox. After the fix, the |attr filter no longer bypasses the environment's attribute lookup. This vulnerability is fixed in 3.1.6. Уязвимость компилятора инструмента для html-шаблонизации jinja связана с непринятием мер по нейтрализации специальных элементов в механизме создания шаблонов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1336')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 IEEE P802.11-REVme D1.1 through D7.0 allows FragAttacks against mesh networks. In mesh networks using Wi-Fi Protected Access (WPA, WPA2, or WPA3) or Wired Equivalent Privacy (WEP), an adversary can exploit this vulnerability to inject arbitrary frames towards devices that support receiving non-SSP A-MSDU frames. NOTE: this issue exists because of an incorrect fix for CVE-2020-24588. P802.11-REVme, as of early 2025, is a planned release of the 802.11 standard. Уязвимость реализации протокола IEEE 802.11 ядра операционной системы Linux связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 ruby-rack Rack provides an interface for developing web applications in Ruby. Prior to versions 2.2.13, 3.0.14, and 3.1.12, `Rack::Static` can serve files under the specified `root:` even if `urls:` are provided, which may expose other files under the specified `root:` unexpectedly. The vulnerability occurs because `Rack::Static` does not properly sanitize user-supplied paths before serving files. Specifically, encoded path traversal sequences are not correctly validated, allowing attackers to access files outside the designated static file directory. By exploiting this vulnerability, an attacker can gain access to all files under the specified `root:` directory, provided they are able to determine then path of the file. Versions 2.2.13, 3.0.14, and 3.1.12 contain a patch for the issue. Other mitigations include removing usage of `Rack::Static`, or ensuring that `root:` points at a directory path which only contains files which should be accessed publicly. It is likely that a CDN or similar static file server would also mitigate the issue. Уязвимость модульного интерфейса между веб-серверами и веб-приложениями Rack связана с ошибками проверки пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-23')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) - Отказаться от использования функции Rack::Static - Не используйте ПО ruby-rack для обработки конфиденциальных файлов - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs during serialization of DollarBlend in a font, for base/write_t1.c and psi/zfapi.c. Уязвимость файлов base/write_t1.c и psi/zfapi.c компонента DollarBlend набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. The DOCXWRITE TXTWRITE device has a text buffer overflow via long characters to devices/vector/doc_common.c. Уязвимость функции txt_get_unicode() файла devices/vector/doc_common.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. The NPDL device has a Compression buffer overflow for contrib/japanese/gdevnpdl.c. Уязвимость файла contrib/japanese/gdevnpdl.c компонента NPDL Device набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs for a long TTF font name to pdf/pdf_fmap.c. Уязвимость файла pdf/pdf_fmap.c компонента TTF набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs via an oversized Type 4 function in a PDF document to pdf/pdf_func.c. Уязвимость функции Type 4 файла pdf/pdf_func.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально созданного PDF-файла [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs when converting glyphs to Unicode in psi/zbfont.c. Уязвимость файла psi/zbfont.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных в результате некорректной конвертации глифов в Unicode. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. The BJ10V device has a Print buffer overflow in contrib/japanese/gdev10v.c. Уязвимость функции bj10v_print_page() файла contrib/japanese/gdev10v.c компонента BJ10V Device набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 sqlite3 In SQLite 3.49.0 before 3.49.1, certain argument values to sqlite3_db_config (in the C-language API) can cause a denial of service (application crash). An sz*nBig multiplication is not cast to a 64-bit integer, and consequently some memory allocations may be incorrect. Уязвимость компонента SQLITE_DBCONFIG_LOOKASIDE встраиваемой СУБД SQLite связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=5.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: - запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail; - отказаться от использования ПО sqlite3 в пользу ПО postgresql. Astra Linux 3.8 exim4 A use-after-free in Exim 4.96 through 4.98.1 could allow users (with command-line access) to escalate privileges. Уязвимость почтового сервера Exim связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.1) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 corosync Corosync through 3.1.9, if encryption is disabled or the attacker knows the encryption key, has a stack-based buffer overflow in orf_token_endian_convert in exec/totemsrp.c via a large UDP packet. Уязвимость функции orf_token_endian_convert() системы группового общения для отказоустойчивых кластеров Corosync связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании путем отправки специально сформированных UDP-пакетов [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) - Включите шифрование в Corosync: 1. Проверьте, что в конфигурационном файле `/etc/corosync/corosync.conf` параметры `crypto_cipher` и `crypto_hash` не установлены в значение `none` Если нет возможности включить шифрование в Corosync, то выполните следующие требования: - Ограничьте сетевой доступ к портам Corosync - Используйте выделенную сеть для кластера - Включите логирование `/etc/corosync/corosync.conf` - Мониторьте трафик на большие UDP-пакеты с помощью инструментов tcpdump или Wireshark Astra Linux 3.8 mariadb Vulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.0-8.0.41, 8.4.0-8.4.4 and 9.0.0-9.2.0. Easily exploitable vulnerability allows high privileged attacker with network access via multiple protocols to compromise MySQL Server. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of MySQL Server as well as unauthorized update, insert or delete access to some of MySQL Server accessible data. CVSS 3.1 Base Score 5.5 (Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H). Уязвимость компонента Cluster: General системы управления базами данных MySQL Cluster связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ на чтение, изменение, добавление или удаление данных или вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H', score=5.5) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 mariadb Vulnerability in the MySQL Client product of Oracle MySQL (component: Client: mysqldump). Supported versions that are affected are 8.0.0-8.0.41, 8.4.0-8.4.4 and 9.0.0-9.2.0. Difficult to exploit vulnerability allows low privileged attacker with network access via multiple protocols to compromise MySQL Client. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all MySQL Client accessible data as well as unauthorized update, insert or delete access to some of MySQL Client accessible data. CVSS 3.1 Base Score 5.9 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N). Уязвимость СУБД MySQL и MariaDB связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.3) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 xz-utils XZ Utils provide a general-purpose data-compression library plus command-line tools. In XZ Utils 5.3.3alpha to 5.8.0, the multithreaded .xz decoder in liblzma has a bug where invalid input can at least result in a crash. The effects include heap use after free and writing to an address based on the null pointer plus an offset. Applications and libraries that use the lzma_stream_decoder_mt function are affected. The bug has been fixed in XZ Utils 5.8.1, and the fix has been committed to the v5.4, v5.6, v5.8, and master branches in the xz Git repository. No new release packages will be made from the old stable branches, but a standalone patch is available that applies to all affected releases. Уязвимость функции lzma_stream_decoder_mt() библиотеки liblzma программы сжатия XZ Utils связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-366')] None None Astra Linux 3.8 binutils A vulnerability has been found in GNU Binutils 2.43/2.44 and classified as problematic. Affected by this vulnerability is the function display_info of the file binutils/bucomm.c of the component objdump. The manipulation leads to memory leak. An attack has to be approached locally. The exploit has been disclosed to the public and may be used. The patch is named ba6ad3a18cb26b79e0e3b84c39f707535bbc344d. It is recommended to apply a patch to fix this issue. Уязвимость функции display_info() компонента objdump программного средства разработки GNU Binutils связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Ограничить доступ к использованию команды objdump - При использовании команды objdump выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 poppler A floating-point exception in the PSStack::roll function of Poppler before 25.04.0 can cause an application to crash when handling malformed inputs associated with INT_MIN. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с целочисленным переполнением в функции PSStack::roll(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 poppler Poppler before 25.04.0 allows crafted input files to trigger out-of-bounds reads in the JBIG2Bitmap::combine function in JBIG2Stream.cc because of a misplaced isOk check. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с чтением за границами буфера памяти в функции JBIG2Bitmap::combine(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 libxml2 In libxml2 before 2.13.8 and 2.14.x before 2.14.2, out-of-bounds memory access can occur in the Python API (Python bindings) because of an incorrect return value. This occurs in xmlPythonFileRead and xmlPythonFileReadRaw because of a difference between bytes and characters. Уязвимость компонента Python API библиотеки libxml2 связана с некорректной проверкой возвращаемого значения метода или функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-393'), NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=5.6) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libxml2 In libxml2 before 2.13.8 and 2.14.x before 2.14.2, xmlSchemaIDCFillNodeTables in xmlschemas.c has a heap-based buffer under-read. To exploit this, a crafted XML document must be validated against an XML schema with certain identity constraints, or a crafted XML schema must be used. Уязвимость функции xmlSchemaIDCFillNodeTables() файла xmlschemas.c библиотеки libxml2 связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного XML файла [NistCWE(cwe='CWE-1284'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 sudo Sudo before 1.9.17p1, when used with a sudoers file that specifies a host that is neither the current host nor ALL, allows listed users to execute commands on unintended machines. Уязвимость программы системного администрирования Sudo связана с недостатками механизма авторизации. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:N', score=2.8) - Удалите из конфигурационного файла /etc/sudoers правила, использующие директивы Host или Host_Alias - Используя полномочия администратора системы с высоким уровнем целостности, с помощью файла конфигурации /etc/sudoers минимизируйте необходимые разрешения для пользователей, например, определите конкретные команды, которые пользователь может выполнять; - По возможности, избегайте использования NOPASSWD, то есть требуйте пароли для выполнения команд sudo для каждой сессии. - Для того, чтобы пароль не запоминался и запрашивался для каждой команды в файл /etc/sudoers добавить строчку: ``` Defaults timestamp_timeout=0 ``` - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 3.8 haproxy HAProxy 2.2 through 3.1.6, in certain uncommon configurations, has a sample_conv_regsub heap-based buffer overflow because of mishandling of the replacement of multiple short patterns with a longer one. Уязвимость компонента sample.c серверного программного обеспечения HAProxy связана с сравнением с использованием неверных факторов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1025')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:N/A:H', score=6.8) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 openssh In sshd in OpenSSH before 10.0, the DisableForwarding directive does not adhere to the documentation stating that it disables X11 and agent forwarding. Уязвимость службы sshd средства криптографической защиты OpenSSH связана с несоответствием заявленной в документации функциональности директивы DisableForwarding. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-440')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора, откройте конфигурационные файлы SSH (/etc/ssh/ssh_config и ~/.ssh/config). Явно отключите X11 и переадресацию агента в конфигурации SSH: ``` X11Forwarding no AllowAgentForwarding no ``` Astra Linux 3.8 gnutls28 A flaw was found in GnuTLS. A double-free vulnerability exists in GnuTLS due to incorrect ownership handling in the export logic of Subject Alternative Name (SAN) entries containing an otherName. If the type-id OID is invalid or malformed, GnuTLS will call asn1_delete_structure() on an ASN.1 node it does not own, leading to a double-free condition when the parent function or caller later attempts to free the same structure. This vulnerability can be triggered using only public GnuTLS APIs and may result in denial of service or memory corruption, depending on allocator behavior. Уязвимость функции asn1_delete_structure() библиотеки безопасности транспортного уровня GnuTLS связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 3.8 gnutls28 A heap-buffer-overread vulnerability was found in GnuTLS in how it handles the Certificate Transparency (CT) Signed Certificate Timestamp (SCT) extension during X.509 certificate parsing. This flaw allows a malicious user to create a certificate containing a malformed SCT extension (OID 1.3.6.1.4.1.11129.2.4.2) that contains sensitive data. This issue leads to the exposure of confidential information when GnuTLS verifies certificates from certain websites when the certificate (SCT) is not checked correctly. Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к конфиденциальной информации [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 3.8 gnutls28 A heap-buffer-overflow (off-by-one) flaw was found in the GnuTLS software in the template parsing logic within the certtool utility. When it reads certain settings from a template file, it allows an attacker to cause an out-of-bounds (OOB) NULL pointer write, resulting in memory corruption and a denial-of-service (DoS) that could potentially crash the system. Уязвимость утилиты certtool библиотеки безопасности транспортного уровня GnuTLS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 3.8 glib2.0 A flaw was found in GLib. An integer overflow and buffer under-read occur when parsing a long invalid ISO 8601 timestamp with the g_date_time_new_from_iso8601() function. Уязвимость функции g_date_time_new_from_iso8601() компонента gdatetime.c набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: ignore xattrs past end Once inside 'ext4_xattr_inode_dec_ref_all' we should ignore xattrs entries past the 'end' entry. This fixes the following KASAN reported issue: ================================================================== BUG: KASAN: slab-use-after-free in ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 Read of size 4 at addr ffff888012c120c4 by task repro/2065 CPU: 1 UID: 0 PID: 2065 Comm: repro Not tainted 6.13.0-rc2+ #11 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x1fd/0x300 ? tcp_gro_dev_warn+0x260/0x260 ? _printk+0xc0/0x100 ? read_lock_is_recursive+0x10/0x10 ? irq_work_queue+0x72/0xf0 ? __virt_addr_valid+0x17b/0x4b0 print_address_description+0x78/0x390 print_report+0x107/0x1f0 ? __virt_addr_valid+0x17b/0x4b0 ? __virt_addr_valid+0x3ff/0x4b0 ? __phys_addr+0xb5/0x160 ? ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 kasan_report+0xcc/0x100 ? ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 ? ext4_xattr_delete_inode+0xd30/0xd30 ? __ext4_journal_ensure_credits+0x5f0/0x5f0 ? __ext4_journal_ensure_credits+0x2b/0x5f0 ? inode_update_timestamps+0x410/0x410 ext4_xattr_delete_inode+0xb64/0xd30 ? ext4_truncate+0xb70/0xdc0 ? ext4_expand_extra_isize_ea+0x1d20/0x1d20 ? __ext4_mark_inode_dirty+0x670/0x670 ? ext4_journal_check_start+0x16f/0x240 ? ext4_inode_is_fast_symlink+0x2f2/0x3a0 ext4_evict_inode+0xc8c/0xff0 ? ext4_inode_is_fast_symlink+0x3a0/0x3a0 ? do_raw_spin_unlock+0x53/0x8a0 ? ext4_inode_is_fast_symlink+0x3a0/0x3a0 evict+0x4ac/0x950 ? proc_nr_inodes+0x310/0x310 ? trace_ext4_drop_inode+0xa2/0x220 ? _raw_spin_unlock+0x1a/0x30 ? iput+0x4cb/0x7e0 do_unlinkat+0x495/0x7c0 ? try_break_deleg+0x120/0x120 ? 0xffffffff81000000 ? __check_object_size+0x15a/0x210 ? strncpy_from_user+0x13e/0x250 ? getname_flags+0x1dc/0x530 __x64_sys_unlinkat+0xc8/0xf0 do_syscall_64+0x65/0x110 entry_SYSCALL_64_after_hwframe+0x67/0x6f RIP: 0033:0x434ffd Code: 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 8 RSP: 002b:00007ffc50fa7b28 EFLAGS: 00000246 ORIG_RAX: 0000000000000107 RAX: ffffffffffffffda RBX: 00007ffc50fa7e18 RCX: 0000000000434ffd RDX: 0000000000000000 RSI: 0000000020000240 RDI: 0000000000000005 RBP: 00007ffc50fa7be0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000001 R13: 00007ffc50fa7e08 R14: 00000000004bbf30 R15: 0000000000000001 </TASK> The buggy address belongs to the object at ffff888012c12000 which belongs to the cache filp of size 360 The buggy address is located 196 bytes inside of freed 360-byte region [ffff888012c12000, ffff888012c12168) The buggy address belongs to the physical page: page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x12c12 head: order:1 mapcount:0 entire_mapcount:0 nr_pages_mapped:0 pincount:0 flags: 0x40(head|node=0|zone=0) page_type: f5(slab) raw: 0000000000000040 ffff888000ad7640 ffffea0000497a00 dead000000000004 raw: 0000000000000000 0000000000100010 00000001f5000000 0000000000000000 head: 0000000000000040 ffff888000ad7640 ffffea0000497a00 dead000000000004 head: 0000000000000000 0000000000100010 00000001f5000000 0000000000000000 head: 0000000000000001 ffffea00004b0481 ffffffffffffffff 0000000000000000 head: 0000000000000002 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888012c11f80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ffff888012c12000: fa fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb > ffff888012c12080: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff888012c12100: fb fb fb fb fb fb fb fb fb fb fb fb fb fc fc fc ffff888012c12180: fc fc fc fc fc fc fc fc fc ---truncated--- Уязвимость функции ext4_xattr_inode_dec_ref_all() компонента fs/ext4/xattr.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid out-of-bounds access in f2fs_truncate_inode_blocks() syzbot reports an UBSAN issue as below: ------------[ cut here ]------------ UBSAN: array-index-out-of-bounds in fs/f2fs/node.h:381:10 index 18446744073709550692 is out of range for type '__le32[5]' (aka 'unsigned int[5]') CPU: 0 UID: 0 PID: 5318 Comm: syz.0.0 Not tainted 6.14.0-rc3-syzkaller-00060-g6537cfb395f3 #0 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_out_of_bounds+0x121/0x150 lib/ubsan.c:429 get_nid fs/f2fs/node.h:381 [inline] f2fs_truncate_inode_blocks+0xa5e/0xf60 fs/f2fs/node.c:1181 f2fs_do_truncate_blocks+0x782/0x1030 fs/f2fs/file.c:808 f2fs_truncate_blocks+0x10d/0x300 fs/f2fs/file.c:836 f2fs_truncate+0x417/0x720 fs/f2fs/file.c:886 f2fs_file_write_iter+0x1bdb/0x2550 fs/f2fs/file.c:5093 aio_write+0x56b/0x7c0 fs/aio.c:1633 io_submit_one+0x8a7/0x18a0 fs/aio.c:2052 __do_sys_io_submit fs/aio.c:2111 [inline] __se_sys_io_submit+0x171/0x2e0 fs/aio.c:2081 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f238798cde9 index 18446744073709550692 (decimal, unsigned long long) = 0xfffffffffffffc64 (hexadecimal, unsigned long long) = -924 (decimal, long long) In f2fs_truncate_inode_blocks(), UBSAN detects that get_nid() tries to access .i_nid[-924], it means both offset[0] and level should zero. The possible case should be in f2fs_do_truncate_blocks(), we try to truncate inode size to zero, however, dn.ofs_in_node is zero and dn.node_page is not an inode page, so it fails to truncate inode page, and then pass zeroed free_from to f2fs_truncate_inode_blocks(), result in this issue. if (dn.ofs_in_node || IS_INODE(dn.node_page)) { f2fs_truncate_data_blocks_range(&dn, count); free_from += count; } I guess the reason why dn.node_page is not an inode page could be: there are multiple nat entries share the same node block address, once the node block address was reused, f2fs_get_node_page() may load a non-inode block. Let's add a sanity check for such condition to avoid out-of-bounds access issue. Уязвимость компонента f2fs ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: add sanity check for agwidth in dbMount The width in dmapctl of the AG is zero, it trigger a divide error when calculating the control page level in dbAllocAG. To avoid this issue, add a check for agwidth in dbAllocAG. Уязвимость компонента jfs ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Prevent copying of nlink with value 0 from disk inode syzbot report a deadlock in diFree. [1] When calling "ioctl$LOOP_SET_STATUS64", the offset value passed in is 4, which does not match the mounted loop device, causing the mapping of the mounted loop device to be invalidated. When creating the directory and creating the inode of iag in diReadSpecial(), read the page of fixed disk inode (AIT) in raw mode in read_metapage(), the metapage data it returns is corrupted, which causes the nlink value of 0 to be assigned to the iag inode when executing copy_from_dinode(), which ultimately causes a deadlock when entering diFree(). To avoid this, first check the nlink value of dinode before setting iag inode. [1] WARNING: possible recursive locking detected 6.12.0-rc7-syzkaller-00212-g4a5df3796467 #0 Not tainted -------------------------------------------- syz-executor301/5309 is trying to acquire lock: ffff888044548920 (&(imap->im_aglock[index])){+.+.}-{3:3}, at: diFree+0x37c/0x2fb0 fs/jfs/jfs_imap.c:889 but task is already holding lock: ffff888044548920 (&(imap->im_aglock[index])){+.+.}-{3:3}, at: diAlloc+0x1b6/0x1630 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&(imap->im_aglock[index])); lock(&(imap->im_aglock[index])); *** DEADLOCK *** May be due to missing lock nesting notation 5 locks held by syz-executor301/5309: #0: ffff8880422a4420 (sb_writers#9){.+.+}-{0:0}, at: mnt_want_write+0x3f/0x90 fs/namespace.c:515 #1: ffff88804755b390 (&type->i_mutex_dir_key#6/1){+.+.}-{3:3}, at: inode_lock_nested include/linux/fs.h:850 [inline] #1: ffff88804755b390 (&type->i_mutex_dir_key#6/1){+.+.}-{3:3}, at: filename_create+0x260/0x540 fs/namei.c:4026 #2: ffff888044548920 (&(imap->im_aglock[index])){+.+.}-{3:3}, at: diAlloc+0x1b6/0x1630 #3: ffff888044548890 (&imap->im_freelock){+.+.}-{3:3}, at: diNewIAG fs/jfs/jfs_imap.c:2460 [inline] #3: ffff888044548890 (&imap->im_freelock){+.+.}-{3:3}, at: diAllocExt fs/jfs/jfs_imap.c:1905 [inline] #3: ffff888044548890 (&imap->im_freelock){+.+.}-{3:3}, at: diAllocAG+0x4b7/0x1e50 fs/jfs/jfs_imap.c:1669 #4: ffff88804755a618 (&jfs_ip->rdwrlock/1){++++}-{3:3}, at: diNewIAG fs/jfs/jfs_imap.c:2477 [inline] #4: ffff88804755a618 (&jfs_ip->rdwrlock/1){++++}-{3:3}, at: diAllocExt fs/jfs/jfs_imap.c:1905 [inline] #4: ffff88804755a618 (&jfs_ip->rdwrlock/1){++++}-{3:3}, at: diAllocAG+0x869/0x1e50 fs/jfs/jfs_imap.c:1669 stack backtrace: CPU: 0 UID: 0 PID: 5309 Comm: syz-executor301 Not tainted 6.12.0-rc7-syzkaller-00212-g4a5df3796467 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_deadlock_bug+0x483/0x620 kernel/locking/lockdep.c:3037 check_deadlock kernel/locking/lockdep.c:3089 [inline] validate_chain+0x15e2/0x5920 kernel/locking/lockdep.c:3891 __lock_acquire+0x1384/0x2050 kernel/locking/lockdep.c:5202 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5825 __mutex_lock_common kernel/locking/mutex.c:608 [inline] __mutex_lock+0x136/0xd70 kernel/locking/mutex.c:752 diFree+0x37c/0x2fb0 fs/jfs/jfs_imap.c:889 jfs_evict_inode+0x32d/0x440 fs/jfs/inode.c:156 evict+0x4e8/0x9b0 fs/inode.c:725 diFreeSpecial fs/jfs/jfs_imap.c:552 [inline] duplicateIXtree+0x3c6/0x550 fs/jfs/jfs_imap.c:3022 diNewIAG fs/jfs/jfs_imap.c:2597 [inline] diAllocExt fs/jfs/jfs_imap.c:1905 [inline] diAllocAG+0x17dc/0x1e50 fs/jfs/jfs_imap.c:1669 diAlloc+0x1d2/0x1630 fs/jfs/jfs_imap.c:1590 ialloc+0x8f/0x900 fs/jfs/jfs_inode.c:56 jfs_mkdir+0x1c5/0xba0 fs/jfs/namei.c:225 vfs_mkdir+0x2f9/0x4f0 fs/namei.c:4257 do_mkdirat+0x264/0x3a0 fs/namei.c:4280 __do_sys_mkdirat fs/namei.c:4295 [inline] __se_sys_mkdirat fs/namei.c:4293 [inline] __x64_sys_mkdirat+0x87/0xa0 fs/namei.c:4293 do_syscall_x64 arch/x86/en ---truncated--- Уязвимость ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Fix uninit-value access of imap allocated in the diMount() function syzbot reports that hex_dump_to_buffer is using uninit-value: ===================================================== BUG: KMSAN: uninit-value in hex_dump_to_buffer+0x888/0x1100 lib/hexdump.c:171 hex_dump_to_buffer+0x888/0x1100 lib/hexdump.c:171 print_hex_dump+0x13d/0x3e0 lib/hexdump.c:276 diFree+0x5ba/0x4350 fs/jfs/jfs_imap.c:876 jfs_evict_inode+0x510/0x550 fs/jfs/inode.c:156 evict+0x723/0xd10 fs/inode.c:796 iput_final fs/inode.c:1946 [inline] iput+0x97b/0xdb0 fs/inode.c:1972 txUpdateMap+0xf3e/0x1150 fs/jfs/jfs_txnmgr.c:2367 txLazyCommit fs/jfs/jfs_txnmgr.c:2664 [inline] jfs_lazycommit+0x627/0x11d0 fs/jfs/jfs_txnmgr.c:2733 kthread+0x6b9/0xef0 kernel/kthread.c:464 ret_from_fork+0x6d/0x90 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Uninit was created at: slab_post_alloc_hook mm/slub.c:4121 [inline] slab_alloc_node mm/slub.c:4164 [inline] __kmalloc_cache_noprof+0x8e3/0xdf0 mm/slub.c:4320 kmalloc_noprof include/linux/slab.h:901 [inline] diMount+0x61/0x7f0 fs/jfs/jfs_imap.c:105 jfs_mount+0xa8e/0x11d0 fs/jfs/jfs_mount.c:176 jfs_fill_super+0xa47/0x17c0 fs/jfs/super.c:523 get_tree_bdev_flags+0x6ec/0x910 fs/super.c:1636 get_tree_bdev+0x37/0x50 fs/super.c:1659 jfs_get_tree+0x34/0x40 fs/jfs/super.c:635 vfs_get_tree+0xb1/0x5a0 fs/super.c:1814 do_new_mount+0x71f/0x15e0 fs/namespace.c:3560 path_mount+0x742/0x1f10 fs/namespace.c:3887 do_mount fs/namespace.c:3900 [inline] __do_sys_mount fs/namespace.c:4111 [inline] __se_sys_mount+0x71f/0x800 fs/namespace.c:4088 __x64_sys_mount+0xe4/0x150 fs/namespace.c:4088 x64_sys_call+0x39bf/0x3c30 arch/x86/include/generated/asm/syscalls_64.h:166 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f ===================================================== The reason is that imap is not properly initialized after memory allocation. It will cause the snprintf() function to write uninitialized data into linebuf within hex_dump_to_buffer(). Fix this by using kzalloc instead of kmalloc to clear its content at the beginning in diMount(). Уязвимость компонента jfs ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/mediatek: Fix NULL pointer deference in mtk_iommu_device_group Currently, mtk_iommu calls during probe iommu_device_register before the hw_list from driver data is initialized. Since iommu probing issue fix, it leads to NULL pointer dereference in mtk_iommu_device_group when hw_list is accessed with list_first_entry (not null safe). So, change the call order to ensure iommu_device_register is called after the driver data are initialized. Уязвимость компонента iommu/mediatek ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ppp: Add bound checking for skb data on ppp_sync_txmung Ensure we have enough data in linear buffer from skb before accessing initial bytes. This prevents potential out-of-bounds accesses when processing short packets. When ppp_sync_txmung receives an incoming package with an empty payload: (remote) gef➤ p *(struct pppoe_hdr *) (skb->head + skb->network_header) $18 = { type = 0x1, ver = 0x1, code = 0x0, sid = 0x2, length = 0x0, tag = 0xffff8880371cdb96 } from the skb struct (trimmed) tail = 0x16, end = 0x140, head = 0xffff88803346f400 "4", data = 0xffff88803346f416 ":\377", truesize = 0x380, len = 0x0, data_len = 0x0, mac_len = 0xe, hdr_len = 0x0, it is not safe to access data[2]. [pabeni@redhat.com: fixed subj typo] Уязвимость компонента drivers/net/ppp/ppp_synctty.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: tls: explicitly disallow disconnect syzbot discovered that it can disconnect a TLS socket and then run into all sort of unexpected corner cases. I have a vague recollection of Eric pointing this out to us a long time ago. Supporting disconnect is really hard, for one thing if offload is enabled we'd need to wait for all packets to be _acked_. Disconnect is not commonly used, disallow it. The immediate problem syzbot run into is the warning in the strp, but that's just the easiest bug to trigger: WARNING: CPU: 0 PID: 5834 at net/tls/tls_strp.c:486 tls_strp_msg_load+0x72e/0xa80 net/tls/tls_strp.c:486 RIP: 0010:tls_strp_msg_load+0x72e/0xa80 net/tls/tls_strp.c:486 Call Trace: <TASK> tls_rx_rec_wait+0x280/0xa60 net/tls/tls_sw.c:1363 tls_sw_recvmsg+0x85c/0x1c30 net/tls/tls_sw.c:2043 inet6_recvmsg+0x2c9/0x730 net/ipv6/af_inet6.c:678 sock_recvmsg_nosec net/socket.c:1023 [inline] sock_recvmsg+0x109/0x280 net/socket.c:1045 __sys_recvfrom+0x202/0x380 net/socket.c:2237 Уязвимость компонента tls_main.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix memory leak in tipc_link_xmit In case the backlog transmit queue for system-importance messages is overloaded, tipc_link_xmit() returns -ENOBUFS but the skb list is not purged. This leads to memory leak and failure when a skb is allocated. This commit fixes this issue by purging the skb list before tipc_link_xmit() returns. Уязвимость компонента link.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ata: pata_pxa: Fix potential NULL pointer dereference in pxa_ata_probe() devm_ioremap() returns NULL on error. Currently, pxa_ata_probe() does not check for this case, which can result in a NULL pointer dereference. Add NULL check after devm_ioremap() to prevent this issue. Уязвимость функции pxa_ata_probe() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau: prime: fix ttm_bo_delayed_delete oops Fix an oops in ttm_bo_delayed_delete which results from dererencing a dangling pointer: Oops: general protection fault, probably for non-canonical address 0x6b6b6b6b6b6b6b7b: 0000 [#1] PREEMPT SMP CPU: 4 UID: 0 PID: 1082 Comm: kworker/u65:2 Not tainted 6.14.0-rc4-00267-g505460b44513-dirty #216 Hardware name: LENOVO 82N6/LNVNB161216, BIOS GKCN65WW 01/16/2024 Workqueue: ttm ttm_bo_delayed_delete [ttm] RIP: 0010:dma_resv_iter_first_unlocked+0x55/0x290 Code: 31 f6 48 c7 c7 00 2b fa aa e8 97 bd 52 ff e8 a2 c1 53 00 5a 85 c0 74 48 e9 88 01 00 00 4c 89 63 20 4d 85 e4 0f 84 30 01 00 00 <41> 8b 44 24 10 c6 43 2c 01 48 89 df 89 43 28 e8 97 fd ff ff 4c 8b RSP: 0018:ffffbf9383473d60 EFLAGS: 00010202 RAX: 0000000000000001 RBX: ffffbf9383473d88 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffbf9383473d78 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 6b6b6b6b6b6b6b6b R13: ffffa003bbf78580 R14: ffffa003a6728040 R15: 00000000000383cc FS: 0000000000000000(0000) GS:ffffa00991c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000758348024dd0 CR3: 000000012c259000 CR4: 0000000000f50ef0 PKRU: 55555554 Call Trace: <TASK> ? __die_body.cold+0x19/0x26 ? die_addr+0x3d/0x70 ? exc_general_protection+0x159/0x460 ? asm_exc_general_protection+0x27/0x30 ? dma_resv_iter_first_unlocked+0x55/0x290 dma_resv_wait_timeout+0x56/0x100 ttm_bo_delayed_delete+0x69/0xb0 [ttm] process_one_work+0x217/0x5c0 worker_thread+0x1c8/0x3d0 ? apply_wqattrs_cleanup.part.0+0xc0/0xc0 kthread+0x10b/0x240 ? kthreads_online_cpu+0x140/0x140 ret_from_fork+0x40/0x70 ? kthreads_online_cpu+0x140/0x140 ret_from_fork_asm+0x11/0x20 </TASK> The cause of this is: - drm_prime_gem_destroy calls dma_buf_put(dma_buf) which releases the reference to the shared dma_buf. The reference count is 0, so the dma_buf is destroyed, which in turn decrements the corresponding amdgpu_bo reference count to 0, and the amdgpu_bo is destroyed - calling drm_gem_object_release then dma_resv_fini (which destroys the reservation object), then finally freeing the amdgpu_bo. - nouveau_bo obj->bo.base.resv is now a dangling pointer to the memory formerly allocated to the amdgpu_bo. - nouveau_gem_object_del calls ttm_bo_put(&nvbo->bo) which calls ttm_bo_release, which schedules ttm_bo_delayed_delete. - ttm_bo_delayed_delete runs and dereferences the dangling resv pointer, resulting in a general protection fault. Fix this by moving the drm_prime_gem_destroy call from nouveau_gem_object_del to nouveau_bo_del_ttm. This ensures that it will be run after ttm_bo_delayed_delete. Уязвимость компонента drm/nouveau ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm/smu11: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. (cherry picked from commit da7dc714a8f8e1c9fc33c57cd63583779a3bef71) Уязвимость компонента drm/amd/pm/smu11 ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищемой информации и вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищемой информации и вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/cma: Fix workqueue crash in cma_netevent_work_handler struct rdma_cm_id has member "struct work_struct net_work" that is reused for enqueuing cma_netevent_work_handler()s onto cma_wq. Below crash[1] can occur if more than one call to cma_netevent_callback() occurs in quick succession, which further enqueues cma_netevent_work_handler()s for the same rdma_cm_id, overwriting any previously queued work-item(s) that was just scheduled to run i.e. there is no guarantee the queued work item may run between two successive calls to cma_netevent_callback() and the 2nd INIT_WORK would overwrite the 1st work item (for the same rdma_cm_id), despite grabbing id_table_lock during enqueue. Also drgn analysis [2] indicates the work item was likely overwritten. Fix this by moving the INIT_WORK() to __rdma_create_id(), so that it doesn't race with any existing queue_work() or its worker thread. [1] Trimmed crash stack: ============================================= BUG: kernel NULL pointer dereference, address: 0000000000000008 kworker/u256:6 ... 6.12.0-0... Workqueue: cma_netevent_work_handler [rdma_cm] (rdma_cm) RIP: 0010:process_one_work+0xba/0x31a Call Trace: worker_thread+0x266/0x3a0 kthread+0xcf/0x100 ret_from_fork+0x31/0x50 ret_from_fork_asm+0x1a/0x30 ============================================= [2] drgn crash analysis: >>> trace = prog.crashed_thread().stack_trace() >>> trace (0) crash_setup_regs (./arch/x86/include/asm/kexec.h:111:15) (1) __crash_kexec (kernel/crash_core.c:122:4) (2) panic (kernel/panic.c:399:3) (3) oops_end (arch/x86/kernel/dumpstack.c:382:3) ... (8) process_one_work (kernel/workqueue.c:3168:2) (9) process_scheduled_works (kernel/workqueue.c:3310:3) (10) worker_thread (kernel/workqueue.c:3391:4) (11) kthread (kernel/kthread.c:389:9) Line workqueue.c:3168 for this kernel version is in process_one_work(): 3168 strscpy(worker->desc, pwq->wq->name, WORKER_DESC_LEN); >>> trace[8]["work"] *(struct work_struct *)0xffff92577d0a21d8 = { .data = (atomic_long_t){ .counter = (s64)536870912, <=== Note }, .entry = (struct list_head){ .next = (struct list_head *)0xffff924d075924c0, .prev = (struct list_head *)0xffff924d075924c0, }, .func = (work_func_t)cma_netevent_work_handler+0x0 = 0xffffffffc2cec280, } Suspicion is that pwq is NULL: >>> trace[8]["pwq"] (struct pool_workqueue *)<absent> In process_one_work(), pwq is assigned from: struct pool_workqueue *pwq = get_work_pwq(work); and get_work_pwq() is: static struct pool_workqueue *get_work_pwq(struct work_struct *work) { unsigned long data = atomic_long_read(&work->data); if (data & WORK_STRUCT_PWQ) return work_struct_pwq(data); else return NULL; } WORK_STRUCT_PWQ is 0x4: >>> print(repr(prog['WORK_STRUCT_PWQ'])) Object(prog, 'enum work_flags', value=4) But work->data is 536870912 which is 0x20000000. So, get_work_pwq() returns NULL and we crash in process_one_work(): 3168 strscpy(worker->desc, pwq->wq->name, WORKER_DESC_LEN); ============================================= Уязвимость компонента RDMA/cma ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtiofs: add filesystem context source name check In certain scenarios, for example, during fuzz testing, the source name may be NULL, which could lead to a kernel panic. Therefore, an extra check for the source name should be added. Уязвимость компонента virtiofs ядра операционной системы Linux связана с неправильной проверкой возвращаемого значения функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix the warning from __kernel_write_iter [ 2110.972290] ------------[ cut here ]------------ [ 2110.972301] WARNING: CPU: 3 PID: 735 at fs/read_write.c:599 __kernel_write_iter+0x21b/0x280 This patch doesn't allow writing to directory. Уязвимость компонента fs/read_write.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix dangling pointer in krb_authenticate krb_authenticate frees sess->user and does not set the pointer to NULL. It calls ksmbd_krb5_authenticate to reinitialise sess->user but that function may return without doing so. If that happens then smb2_sess_setup, which calls krb_authenticate, will be accessing free'd memory when it later uses sess->user. Уязвимость функции krb_authenticate() модуля fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: isofs: Prevent the use of too small fid syzbot reported a slab-out-of-bounds Read in isofs_fh_to_parent. [1] The handle_bytes value passed in by the reproducing program is equal to 12. In handle_to_path(), only 12 bytes of memory are allocated for the structure file_handle->f_handle member, which causes an out-of-bounds access when accessing the member parent_block of the structure isofs_fid in isofs, because accessing parent_block requires at least 16 bytes of f_handle. Here, fh_len is used to indirectly confirm that the value of handle_bytes is greater than 3 before accessing parent_block. [1] BUG: KASAN: slab-out-of-bounds in isofs_fh_to_parent+0x1b8/0x210 fs/isofs/export.c:183 Read of size 4 at addr ffff0000cc030d94 by task syz-executor215/6466 CPU: 1 UID: 0 PID: 6466 Comm: syz-executor215 Not tainted 6.14.0-rc7-syzkaller-ga2392f333575 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call trace: show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:466 (C) __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0xe4/0x150 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0x198/0x550 mm/kasan/report.c:521 kasan_report+0xd8/0x138 mm/kasan/report.c:634 __asan_report_load4_noabort+0x20/0x2c mm/kasan/report_generic.c:380 isofs_fh_to_parent+0x1b8/0x210 fs/isofs/export.c:183 exportfs_decode_fh_raw+0x2dc/0x608 fs/exportfs/expfs.c:523 do_handle_to_path+0xa0/0x198 fs/fhandle.c:257 handle_to_path fs/fhandle.c:385 [inline] do_handle_open+0x8cc/0xb8c fs/fhandle.c:403 __do_sys_open_by_handle_at fs/fhandle.c:443 [inline] __se_sys_open_by_handle_at fs/fhandle.c:434 [inline] __arm64_sys_open_by_handle_at+0x80/0x94 fs/fhandle.c:434 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x54/0x168 arch/arm64/kernel/entry-common.c:744 el0t_64_sync_handler+0x84/0x108 arch/arm64/kernel/entry-common.c:762 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Allocated by task 6466: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x40/0x78 mm/kasan/common.c:68 kasan_save_alloc_info+0x40/0x50 mm/kasan/generic.c:562 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xac/0xc4 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4294 [inline] __kmalloc_noprof+0x32c/0x54c mm/slub.c:4306 kmalloc_noprof include/linux/slab.h:905 [inline] handle_to_path fs/fhandle.c:357 [inline] do_handle_open+0x5a4/0xb8c fs/fhandle.c:403 __do_sys_open_by_handle_at fs/fhandle.c:443 [inline] __se_sys_open_by_handle_at fs/fhandle.c:434 [inline] __arm64_sys_open_by_handle_at+0x80/0x94 fs/fhandle.c:434 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x54/0x168 arch/arm64/kernel/entry-common.c:744 el0t_64_sync_handler+0x84/0x108 arch/arm64/kernel/entry-common.c:762 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Уязвимость компонента isofs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: cros-ec-tunnel: defer probe if parent EC is not present When i2c-cros-ec-tunnel and the EC driver are built-in, the EC parent device will not be found, leading to NULL pointer dereference. That can also be reproduced by unbinding the controller driver and then loading i2c-cros-ec-tunnel module (or binding the device). [ 271.991245] BUG: kernel NULL pointer dereference, address: 0000000000000058 [ 271.998215] #PF: supervisor read access in kernel mode [ 272.003351] #PF: error_code(0x0000) - not-present page [ 272.008485] PGD 0 P4D 0 [ 272.011022] Oops: Oops: 0000 [#1] SMP NOPTI [ 272.015207] CPU: 0 UID: 0 PID: 3859 Comm: insmod Tainted: G S 6.15.0-rc1-00004-g44722359ed83 #30 PREEMPT(full) 3c7fb39a552e7d949de2ad921a7d6588d3a4fdc5 [ 272.030312] Tainted: [S]=CPU_OUT_OF_SPEC [ 272.034233] Hardware name: HP Berknip/Berknip, BIOS Google_Berknip.13434.356.0 05/17/2021 [ 272.042400] RIP: 0010:ec_i2c_probe+0x2b/0x1c0 [i2c_cros_ec_tunnel] [ 272.048577] Code: 1f 44 00 00 41 57 41 56 41 55 41 54 53 48 83 ec 10 65 48 8b 05 06 a0 6c e7 48 89 44 24 08 4c 8d 7f 10 48 8b 47 50 4c 8b 60 78 <49> 83 7c 24 58 00 0f 84 2f 01 00 00 48 89 fb be 30 06 00 00 4c 9 [ 272.067317] RSP: 0018:ffffa32082a03940 EFLAGS: 00010282 [ 272.072541] RAX: ffff969580b6a810 RBX: ffff969580b68c10 RCX: 0000000000000000 [ 272.079672] RDX: 0000000000000000 RSI: 0000000000000282 RDI: ffff969580b68c00 [ 272.086804] RBP: 00000000fffffdfb R08: 0000000000000000 R09: 0000000000000000 [ 272.093936] R10: 0000000000000000 R11: ffffffffc0600000 R12: 0000000000000000 [ 272.101067] R13: ffffffffa666fbb8 R14: ffffffffc05b5528 R15: ffff969580b68c10 [ 272.108198] FS: 00007b930906fc40(0000) GS:ffff969603149000(0000) knlGS:0000000000000000 [ 272.116282] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 272.122024] CR2: 0000000000000058 CR3: 000000012631c000 CR4: 00000000003506f0 [ 272.129155] Call Trace: [ 272.131606] <TASK> [ 272.133709] ? acpi_dev_pm_attach+0xdd/0x110 [ 272.137985] platform_probe+0x69/0xa0 [ 272.141652] really_probe+0x152/0x310 [ 272.145318] __driver_probe_device+0x77/0x110 [ 272.149678] driver_probe_device+0x1e/0x190 [ 272.153864] __driver_attach+0x10b/0x1e0 [ 272.157790] ? driver_attach+0x20/0x20 [ 272.161542] bus_for_each_dev+0x107/0x150 [ 272.165553] bus_add_driver+0x15d/0x270 [ 272.169392] driver_register+0x65/0x110 [ 272.173232] ? cleanup_module+0xa80/0xa80 [i2c_cros_ec_tunnel 3a00532f3f4af4a9eade753f86b0f8dd4e4e5698] [ 272.182617] do_one_initcall+0x110/0x350 [ 272.186543] ? security_kernfs_init_security+0x49/0xd0 [ 272.191682] ? __kernfs_new_node+0x1b9/0x240 [ 272.195954] ? security_kernfs_init_security+0x49/0xd0 [ 272.201093] ? __kernfs_new_node+0x1b9/0x240 [ 272.205365] ? kernfs_link_sibling+0x105/0x130 [ 272.209810] ? kernfs_next_descendant_post+0x1c/0xa0 [ 272.214773] ? kernfs_activate+0x57/0x70 [ 272.218699] ? kernfs_add_one+0x118/0x160 [ 272.222710] ? __kernfs_create_file+0x71/0xa0 [ 272.227069] ? sysfs_add_bin_file_mode_ns+0xd6/0x110 [ 272.232033] ? internal_create_group+0x453/0x4a0 [ 272.236651] ? __vunmap_range_noflush+0x214/0x2d0 [ 272.241355] ? __free_frozen_pages+0x1dc/0x420 [ 272.245799] ? free_vmap_area_noflush+0x10a/0x1c0 [ 272.250505] ? load_module+0x1509/0x16f0 [ 272.254431] do_init_module+0x60/0x230 [ 272.258181] __se_sys_finit_module+0x27a/0x370 [ 272.262627] do_syscall_64+0x6a/0xf0 [ 272.266206] ? do_syscall_64+0x76/0xf0 [ 272.269956] ? irqentry_exit_to_user_mode+0x79/0x90 [ 272.274836] entry_SYSCALL_64_after_hwframe+0x55/0x5d [ 272.279887] RIP: 0033:0x7b9309168d39 [ 272.283466] Code: 5b 41 5c 5d c3 66 2e 0f 1f 84 00 00 00 00 00 66 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d af 40 0c 00 f7 d8 64 89 01 8 [ 272.302210] RSP: 002b:00007fff50f1a288 EFLAGS: 00000246 ORIG_RAX: 000 ---truncated--- Уязвимость модуля i2c-cros-ec-tunnel ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix OOB read when checking dotdot dir Mounting a corrupted filesystem with directory which contains '.' dir entry with rec_len == block size results in out-of-bounds read (later on, when the corrupted directory is removed). ext4_empty_dir() assumes every ext4 directory contains at least '.' and '..' as directory entries in the first data block. It first loads the '.' dir entry, performs sanity checks by calling ext4_check_dir_entry() and then uses its rec_len member to compute the location of '..' dir entry (in ext4_next_entry). It assumes the '..' dir entry fits into the same data block. If the rec_len of '.' is precisely one block (4KB), it slips through the sanity checks (it is considered the last directory entry in the data block) and leaves "struct ext4_dir_entry_2 *de" point exactly past the memory slot allocated to the data block. The following call to ext4_check_dir_entry() on new value of de then dereferences this pointer which results in out-of-bounds mem access. Fix this by extending __ext4_check_dir_entry() to check for '.' dir entries that reach the end of data block. Make sure to ignore the phony dir entries for checksum (by checking name_len for non-zero). Note: This is reported by KASAN as use-after-free in case another structure was recently freed from the slot past the bound, but it is really an OOB read. This issue was found by syzkaller tool. Call Trace: [ 38.594108] BUG: KASAN: slab-use-after-free in __ext4_check_dir_entry+0x67e/0x710 [ 38.594649] Read of size 2 at addr ffff88802b41a004 by task syz-executor/5375 [ 38.595158] [ 38.595288] CPU: 0 UID: 0 PID: 5375 Comm: syz-executor Not tainted 6.14.0-rc7 #1 [ 38.595298] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 38.595304] Call Trace: [ 38.595308] <TASK> [ 38.595311] dump_stack_lvl+0xa7/0xd0 [ 38.595325] print_address_description.constprop.0+0x2c/0x3f0 [ 38.595339] ? __ext4_check_dir_entry+0x67e/0x710 [ 38.595349] print_report+0xaa/0x250 [ 38.595359] ? __ext4_check_dir_entry+0x67e/0x710 [ 38.595368] ? kasan_addr_to_slab+0x9/0x90 [ 38.595378] kasan_report+0xab/0xe0 [ 38.595389] ? __ext4_check_dir_entry+0x67e/0x710 [ 38.595400] __ext4_check_dir_entry+0x67e/0x710 [ 38.595410] ext4_empty_dir+0x465/0x990 [ 38.595421] ? __pfx_ext4_empty_dir+0x10/0x10 [ 38.595432] ext4_rmdir.part.0+0x29a/0xd10 [ 38.595441] ? __dquot_initialize+0x2a7/0xbf0 [ 38.595455] ? __pfx_ext4_rmdir.part.0+0x10/0x10 [ 38.595464] ? __pfx___dquot_initialize+0x10/0x10 [ 38.595478] ? down_write+0xdb/0x140 [ 38.595487] ? __pfx_down_write+0x10/0x10 [ 38.595497] ext4_rmdir+0xee/0x140 [ 38.595506] vfs_rmdir+0x209/0x670 [ 38.595517] ? lookup_one_qstr_excl+0x3b/0x190 [ 38.595529] do_rmdir+0x363/0x3c0 [ 38.595537] ? __pfx_do_rmdir+0x10/0x10 [ 38.595544] ? strncpy_from_user+0x1ff/0x2e0 [ 38.595561] __x64_sys_unlinkat+0xf0/0x130 [ 38.595570] do_syscall_64+0x5b/0x180 [ 38.595583] entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента dir.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью искажённого файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: avoid unregistering devlink regions which were never registered Russell King reports that a system with mv88e6xxx dereferences a NULL pointer when unbinding this driver: https://lore.kernel.org/netdev/Z_lRkMlTJ1KQ0kVX@shell.armlinux.org.uk/ The crash seems to be in devlink_region_destroy(), which is not NULL tolerant but is given a NULL devlink global region pointer. At least on some chips, some devlink regions are conditionally registered since the blamed commit, see mv88e6xxx_setup_devlink_regions_global(): if (cond && !cond(chip)) continue; These are MV88E6XXX_REGION_STU and MV88E6XXX_REGION_PVT. If the chip does not have an STU or PVT, it should crash like this. To fix the issue, avoid unregistering those regions which are NULL, i.e. were skipped at mv88e6xxx_setup_devlink_regions_global() time. Уязвимость ядра операционной системы Linux связана с ошибками разыменования нулевого указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cxgb4: fix memory leak in cxgb4_init_ethtool_filters() error path In the for loop used to allocate the loc_array and bmap for each port, a memory leak is possible when the allocation for loc_array succeeds, but the allocation for bmap fails. This is because when the control flow goes to the label free_eth_finfo, only the allocations starting from (i-1)th iteration are freed. Fix that by freeing the loc_array in the bmap allocation error path. Уязвимость компонента cxgb4_ethtool.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: fix nested key length validation in the set() action It's not safe to access nla_len(ovs_key) if the data is smaller than the netlink header. Check that the attribute is OK first. Уязвимость компонента openvswitch ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: mctp: Set SOCK_RCU_FREE Bind lookup runs under RCU, so ensure that a socket doesn't go away in the middle of a lookup. Уязвимость ядра операционной системы Linux связана с возможностью использования памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btrtl: Prevent potential NULL dereference The btrtl_initialize() function checks that rtl_load_file() either had an error or it loaded a zero length file. However, if it loaded a zero length file then the error code is not set correctly. It results in an error pointer vs NULL bug, followed by a NULL pointer dereference. This was detected by Smatch: drivers/bluetooth/btrtl.c:592 btrtl_initialize() warn: passing zero to 'ERR_PTR' Уязвимость компонента btrtl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Purge vif txq in ieee80211_do_stop() After ieee80211_do_stop() SKB from vif's txq could still be processed. Indeed another concurrent vif schedule_and_wake_txq call could cause those packets to be dequeued (see ieee80211_handle_wake_tx_queue()) without checking the sdata current state. Because vif.drv_priv is now cleared in this function, this could lead to driver crash. For example in ath12k, ahvif is store in vif.drv_priv. Thus if ath12k_mac_op_tx() is called after ieee80211_do_stop(), ahvif->ah can be NULL, leading the ath12k_warn(ahvif->ah,...) call in this function to trigger the NULL deref below. Unable to handle kernel paging request at virtual address dfffffc000000001 KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] batman_adv: bat0: Interface deactivated: brbh1337 Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [dfffffc000000001] address between user and kernel address ranges Internal error: Oops: 0000000096000004 [#1] SMP CPU: 1 UID: 0 PID: 978 Comm: lbd Not tainted 6.13.0-g633f875b8f1e #114 Hardware name: HW (DT) pstate: 10000005 (nzcV daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : ath12k_mac_op_tx+0x6cc/0x29b8 [ath12k] lr : ath12k_mac_op_tx+0x174/0x29b8 [ath12k] sp : ffffffc086ace450 x29: ffffffc086ace450 x28: 0000000000000000 x27: 1ffffff810d59ca4 x26: ffffff801d05f7c0 x25: 0000000000000000 x24: 000000004000001e x23: ffffff8009ce4926 x22: ffffff801f9c0800 x21: ffffff801d05f7f0 x20: ffffff8034a19f40 x19: 0000000000000000 x18: ffffff801f9c0958 x17: ffffff800bc0a504 x16: dfffffc000000000 x15: ffffffc086ace4f8 x14: ffffff801d05f83c x13: 0000000000000000 x12: ffffffb003a0bf03 x11: 0000000000000000 x10: ffffffb003a0bf02 x9 : ffffff8034a19f40 x8 : ffffff801d05f818 x7 : 1ffffff0069433dc x6 : ffffff8034a19ee0 x5 : ffffff801d05f7f0 x4 : 0000000000000000 x3 : 0000000000000001 x2 : 0000000000000000 x1 : dfffffc000000000 x0 : 0000000000000008 Call trace: ath12k_mac_op_tx+0x6cc/0x29b8 [ath12k] (P) ieee80211_handle_wake_tx_queue+0x16c/0x260 ieee80211_queue_skb+0xeec/0x1d20 ieee80211_tx+0x200/0x2c8 ieee80211_xmit+0x22c/0x338 __ieee80211_subif_start_xmit+0x7e8/0xc60 ieee80211_subif_start_xmit+0xc4/0xee0 __ieee80211_subif_start_xmit_8023.isra.0+0x854/0x17a0 ieee80211_subif_start_xmit_8023+0x124/0x488 dev_hard_start_xmit+0x160/0x5a8 __dev_queue_xmit+0x6f8/0x3120 br_dev_queue_push_xmit+0x120/0x4a8 __br_forward+0xe4/0x2b0 deliver_clone+0x5c/0xd0 br_flood+0x398/0x580 br_dev_xmit+0x454/0x9f8 dev_hard_start_xmit+0x160/0x5a8 __dev_queue_xmit+0x6f8/0x3120 ip6_finish_output2+0xc28/0x1b60 __ip6_finish_output+0x38c/0x638 ip6_output+0x1b4/0x338 ip6_local_out+0x7c/0xa8 ip6_send_skb+0x7c/0x1b0 ip6_push_pending_frames+0x94/0xd0 rawv6_sendmsg+0x1a98/0x2898 inet_sendmsg+0x94/0xe0 __sys_sendto+0x1e4/0x308 __arm64_sys_sendto+0xc4/0x140 do_el0_svc+0x110/0x280 el0_svc+0x20/0x60 el0t_64_sync_handler+0x104/0x138 el0t_64_sync+0x154/0x158 To avoid that, empty vif's txq at ieee80211_do_stop() so no packet could be dequeued after ieee80211_do_stop() (new packets cannot be queued because SDATA_STATE_RUNNING is cleared at this point). Уязвимость компонента mac80211 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: at76c50x: fix use after free access in at76_disconnect The memory pointed to by priv is freed at the end of at76_delete_device function (using ieee80211_free_hw). But the code then accesses the udev field of the freed object to put the USB device. This may also lead to a memory leak of the usb device. Fix this by using udev from interface. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Fix a UAF vulnerability in class handling This patch fixes a Use-After-Free vulnerability in the HFSC qdisc class handling. The issue occurs due to a time-of-check/time-of-use condition in hfsc_change_class() when working with certain child qdiscs like netem or codel. The vulnerability works as follows: 1. hfsc_change_class() checks if a class has packets (q.qlen != 0) 2. It then calls qdisc_peek_len(), which for certain qdiscs (e.g., codel, netem) might drop packets and empty the queue 3. The code continues assuming the queue is still non-empty, adding the class to vttree 4. This breaks HFSC scheduler assumptions that only non-empty classes are in vttree 5. Later, when the class is destroyed, this can lead to a Use-After-Free The fix adds a second queue length check after qdisc_peek_len() to verify the queue wasn't emptied. Уязвимость компонента sch_hfsc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: codel: remove sch->q.qlen check before qdisc_tree_reduce_backlog() After making all ->qlen_notify() callbacks idempotent, now it is safe to remove the check of qlen!=0 from both fq_codel_dequeue() and codel_qdisc_dequeue(). Уязвимость компонента sch_codel.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_fq_codel.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_fq_codel в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_fq_codel ``` или ``` kmod list | grep sch_fq_codel ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_fq_codel ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_fq_codel /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: spi-imx: Add check for spi_imx_setupxfer() Add check for the return value of spi_imx_setupxfer(). spi_imx->rx and spi_imx->tx function pointer can be NULL when spi_imx_setupxfer() return error, and make NULL pointer dereference. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Call trace: 0x0 spi_imx_pio_transfer+0x50/0xd8 spi_imx_transfer_one+0x18c/0x858 spi_transfer_one_message+0x43c/0x790 __spi_pump_transfer_message+0x238/0x5d4 __spi_sync+0x2b0/0x454 spi_write_then_read+0x11c/0x200 Уязвимость функции spi_imx_transfer_one ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udmabuf: fix a buf size overflow issue during udmabuf creation by casting size_limit_mb to u64 when calculate pglimit. Уязвимость функции size_limit_mb ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sound/virtio: Fix cancel_sync warnings on uninitialized work_structs Betty reported hitting the following warning: [ 8.709131][ T221] WARNING: CPU: 2 PID: 221 at kernel/workqueue.c:4182 ... [ 8.713282][ T221] Call trace: [ 8.713365][ T221] __flush_work+0x8d0/0x914 [ 8.713468][ T221] __cancel_work_sync+0xac/0xfc [ 8.713570][ T221] cancel_work_sync+0x24/0x34 [ 8.713667][ T221] virtsnd_remove+0xa8/0xf8 [virtio_snd ab15f34d0dd772f6d11327e08a81d46dc9c36276] [ 8.713868][ T221] virtsnd_probe+0x48c/0x664 [virtio_snd ab15f34d0dd772f6d11327e08a81d46dc9c36276] [ 8.714035][ T221] virtio_dev_probe+0x28c/0x390 [ 8.714139][ T221] really_probe+0x1bc/0x4c8 ... It seems we're hitting the error path in virtsnd_probe(), which triggers a virtsnd_remove() which iterates over the substreams calling cancel_work_sync() on the elapsed_period work_struct. Looking at the code, from earlier in: virtsnd_probe()->virtsnd_build_devs()->virtsnd_pcm_parse_cfg() We set snd->nsubstreams, allocate the snd->substreams, and if we then hit an error on the info allocation or something in virtsnd_ctl_query_info() fails, we will exit without having initialized the elapsed_period work_struct. When that error path unwinds we then call virtsnd_remove() which as long as the substreams array is allocated, will iterate through calling cancel_work_sync() on the uninitialized work struct hitting this warning. Takashi Iwai suggested this fix, which initializes the substreams structure right after allocation, so that if we hit the error paths we avoid trying to cleanup uninitialized data. Note: I have not yet managed to reproduce the issue myself, so this patch has had limited testing. Feedback or thoughts would be appreciated! Уязвимость функции virtsnd_probe() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: null - Use spin lock instead of mutex As the null algorithm may be freed in softirq context through af_alg, use spin locks instead of mutexes to protect the default null algorithm. Уязвимость компонента crypto_null.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: gadget: check that event count does not exceed event buffer length The event count is read from register DWC3_GEVNTCOUNT. There is a check for the count being zero, but not for exceeding the event buffer length. Check that event count does not exceed event buffer length, avoiding an out-of-bounds access when memcpy'ing the event. Crash log: Unable to handle kernel paging request at virtual address ffffffc0129be000 pc : __memcpy+0x114/0x180 lr : dwc3_check_event_buf+0xec/0x348 x3 : 0000000000000030 x2 : 000000000000dfc4 x1 : ffffffc0129be000 x0 : ffffff87aad60080 Call trace: __memcpy+0x114/0x180 dwc3_interrupt+0x24/0x34 Уязвимость компонента gadget.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: chipidea: ci_hdrc_imx: fix usbmisc handling usbmisc is an optional device property so it is totally valid for the corresponding data->usbmisc_data to have a NULL value. Check that before dereferencing the pointer. Found by Linux Verification Center (linuxtesting.org) with Svace static analysis tool. Уязвимость компонента ci_hdrc_imx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: cdns3: Fix deadlock when using NCM gadget The cdns3 driver has the same NCM deadlock as fixed in cdnsp by commit 58f2fcb3a845 ("usb: cdnsp: Fix deadlock issue during using NCM gadget"). Under PREEMPT_RT the deadlock can be readily triggered by heavy network traffic, for example using "iperf --bidir" over NCM ethernet link. The deadlock occurs because the threaded interrupt handler gets preempted by a softirq, but both are protected by the same spinlock. Prevent deadlock by disabling softirq during threaded irq handler. Уязвимость компонента cdns3 ядра операционной системы Linux связана с зависанием из-за повторной блокировки ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: microchip: pci1xxxx: Fix Kernel panic during IRQ handler registration Resolve kernel panic while accessing IRQ handler associated with the generated IRQ. This is done by acquiring the spinlock and storing the current interrupt state before handling the interrupt request using generic_handle_irq. A previous fix patch was submitted where 'generic_handle_irq' was replaced with 'handle_nested_irq'. However, this change also causes the kernel panic where after determining which GPIO triggered the interrupt and attempting to call handle_nested_irq with the mapped IRQ number, leads to a failure in locating the registered handler. Уязвимость компонента microchip ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mcb: fix a double free bug in chameleon_parse_gdd() In chameleon_parse_gdd(), if mcb_device_register() fails, 'mdev' would be released in mcb_device_register() via put_device(). Thus, goto 'err' label and free 'mdev' again causes a double free. Just return if mcb_device_register() fails. Уязвимость функции chameleon_parse_gdd() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Return NULL from huge_pte_offset() for invalid PMD LoongArch's huge_pte_offset() currently returns a pointer to a PMD slot even if the underlying entry points to invalid_pte_table (indicating no mapping). Callers like smaps_hugetlb_range() fetch this invalid entry value (the address of invalid_pte_table) via this pointer. The generic is_swap_pte() check then incorrectly identifies this address as a swap entry on LoongArch, because it satisfies the "!pte_present() && !pte_none()" conditions. This misinterpretation, combined with a coincidental match by is_migration_entry() on the address bits, leads to kernel crashes in pfn_swap_entry_to_page(). Fix this at the architecture level by modifying huge_pte_offset() to check the PMD entry's content using pmd_none() before returning. If the entry is invalid (i.e., it points to invalid_pte_table), return NULL instead of the pointer to the slot. Уязвимость компонента hugetlbpage.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/gic-v2m: Prevent use after free of gicv2m_get_fwnode() With ACPI in place, gicv2m_get_fwnode() is registered with the pci subsystem as pci_msi_get_fwnode_cb(), which may get invoked at runtime during a PCI host bridge probe. But, the call back is wrongly marked as __init, causing it to be freed, while being registered with the PCI subsystem and could trigger: Unable to handle kernel paging request at virtual address ffff8000816c0400 gicv2m_get_fwnode+0x0/0x58 (P) pci_set_bus_msi_domain+0x74/0x88 pci_register_host_bridge+0x194/0x548 This is easily reproducible on a Juno board with ACPI boot. Retain the function for later use. Уязвимость компонента irq-gic-v2m.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xen-netfront: handle NULL returned by xdp_convert_buff_to_frame() The function xdp_convert_buff_to_frame() may return NULL if it fails to correctly convert the XDP buffer into an XDP frame due to memory constraints, internal errors, or invalid data. Failing to check for NULL may lead to a NULL pointer dereference if the result is used later in processing, potentially causing crashes, data corruption, or undefined behavior. On XDP redirect failure, the associated page must be released explicitly if it was previously retained via get_page(). Failing to do so may result in a memory leak, as the pages reference count is not decremented. Уязвимость компонента xen-netfront.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Fix a potential UAF in hfsc_dequeue() too Similarly to the previous patch, we need to safe guard hfsc_dequeue() too. But for this one, we don't have a reliable reproducer. Уязвимость компонента sch_hfsc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix NULL pointer dereference in tipc_mon_reinit_self() syzbot reported: tipc: Node number set to 1055423674 Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 3 UID: 0 PID: 6017 Comm: kworker/3:5 Not tainted 6.15.0-rc1-syzkaller-00246-g900241a5cc15 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: events tipc_net_finalize_work RIP: 0010:tipc_mon_reinit_self+0x11c/0x210 net/tipc/monitor.c:719 ... RSP: 0018:ffffc9000356fb68 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 000000003ee87cba RDX: 0000000000000000 RSI: ffffffff8dbc56a7 RDI: ffff88804c2cc010 RBP: dffffc0000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000007 R13: fffffbfff2111097 R14: ffff88804ead8000 R15: ffff88804ead9010 FS: 0000000000000000(0000) GS:ffff888097ab9000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000f720eb00 CR3: 000000000e182000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> tipc_net_finalize+0x10b/0x180 net/tipc/net.c:140 process_one_work+0x9cc/0x1b70 kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3319 [inline] worker_thread+0x6c8/0xf10 kernel/workqueue.c:3400 kthread+0x3c2/0x780 kernel/kthread.c:464 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:153 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> ... RIP: 0010:tipc_mon_reinit_self+0x11c/0x210 net/tipc/monitor.c:719 ... RSP: 0018:ffffc9000356fb68 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 000000003ee87cba RDX: 0000000000000000 RSI: ffffffff8dbc56a7 RDI: ffff88804c2cc010 RBP: dffffc0000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000007 R13: fffffbfff2111097 R14: ffff88804ead8000 R15: ffff88804ead9010 FS: 0000000000000000(0000) GS:ffff888097ab9000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000f720eb00 CR3: 000000000e182000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 There is a racing condition between workqueue created when enabling bearer and another thread created when disabling bearer right after that as follow: enabling_bearer | disabling_bearer --------------- | ---------------- tipc_disc_timeout() | { | bearer_disable() ... | { schedule_work(&tn->work); | tipc_mon_delete() ... | { } | ... | write_lock_bh(&mon->lock); | mon->self = NULL; | write_unlock_bh(&mon->lock); | ... | } tipc_net_finalize_work() | } { | ... | tipc_net_finalize() | { | ... | tipc_mon_reinit_self() | { | ... | write_lock_bh(&mon->lock); | mon->self->addr = tipc_own_addr(net); | write_unlock_bh(&mon->lock); | ... ---truncated--- Уязвимость компонента monitor.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: scpi: Fix null-ptr-deref in scpi_cpufreq_get_rate() cpufreq_cpu_get_raw() can return NULL when the target CPU is not present in the policy->cpus mask. scpi_cpufreq_get_rate() does not check for this case, which results in a NULL pointer dereference. Уязвимость компонента scpi-cpufreq.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: scmi: Fix null-ptr-deref in scmi_cpufreq_get_rate() cpufreq_cpu_get_raw() can return NULL when the target CPU is not present in the policy->cpus mask. scmi_cpufreq_get_rate() does not check for this case, which results in a NULL pointer dereference. Add NULL check after cpufreq_cpu_get_raw() to prevent this issue. Уязвимость функций scmi_cpufreq_get_rate() и cpufreq_cpu_get_raw() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix reference leak in pci_register_host_bridge() If device_register() fails, call put_device() to give up the reference to avoid a memory leak, per the comment at device_register(). Found by code review. [bhelgaas: squash Dan Carpenter's double free fix from https://lore.kernel.org/r/db806a6c-a91b-4e5a-a84b-6b7e01bdac85@stanley.mountain] Уязвимость функции pci_register_host_bridge() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HSI: ssi_protocol: Fix use after free vulnerability in ssi_protocol Driver Due to Race Condition In the ssi_protocol_probe() function, &ssi->work is bound with ssip_xmit_work(), In ssip_pn_setup(), the ssip_pn_xmit() function within the ssip_pn_ops structure is capable of starting the work. If we remove the module which will call ssi_protocol_remove() to make a cleanup, it will free ssi through kfree(ssi), while the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | ssip_xmit_work ssi_protocol_remove | kfree(ssi); | | struct hsi_client *cl = ssi->cl; | // use ssi Fix it by ensuring that the work is canceled before proceeding with the cleanup in ssi_protocol_remove(). Уязвимость компонента drivers/hsi/clients/ssi_protocol.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jbd2: remove wrong sb->s_sequence check Journal emptiness is not determined by sb->s_sequence == 0 but rather by sb->s_start == 0 (which is set a few lines above). Furthermore 0 is a valid transaction ID so the check can spuriously trigger. Remove the invalid WARN_ON. Уязвимость ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: rawnand: brcmnand: fix PM resume warning Fixed warning on PM resume as shown below caused due to uninitialized struct nand_operation that checks chip select field : WARN_ON(op->cs >= nanddev_ntargets(&chip->base) [ 14.588522] ------------[ cut here ]------------ [ 14.588529] WARNING: CPU: 0 PID: 1392 at drivers/mtd/nand/raw/internals.h:139 nand_reset_op+0x1e0/0x1f8 [ 14.588553] Modules linked in: bdc udc_core [ 14.588579] CPU: 0 UID: 0 PID: 1392 Comm: rtcwake Tainted: G W 6.14.0-rc4-g5394eea10651 #16 [ 14.588590] Tainted: [W]=WARN [ 14.588593] Hardware name: Broadcom STB (Flattened Device Tree) [ 14.588598] Call trace: [ 14.588604] dump_backtrace from show_stack+0x18/0x1c [ 14.588622] r7:00000009 r6:0000008b r5:60000153 r4:c0fa558c [ 14.588625] show_stack from dump_stack_lvl+0x70/0x7c [ 14.588639] dump_stack_lvl from dump_stack+0x18/0x1c [ 14.588653] r5:c08d40b0 r4:c1003cb0 [ 14.588656] dump_stack from __warn+0x84/0xe4 [ 14.588668] __warn from warn_slowpath_fmt+0x18c/0x194 [ 14.588678] r7:c08d40b0 r6:c1003cb0 r5:00000000 r4:00000000 [ 14.588681] warn_slowpath_fmt from nand_reset_op+0x1e0/0x1f8 [ 14.588695] r8:70c40dff r7:89705f41 r6:36b4a597 r5:c26c9444 r4:c26b0048 [ 14.588697] nand_reset_op from brcmnand_resume+0x13c/0x150 [ 14.588714] r9:00000000 r8:00000000 r7:c24f8010 r6:c228a3f8 r5:c26c94bc r4:c26b0040 [ 14.588717] brcmnand_resume from platform_pm_resume+0x34/0x54 [ 14.588735] r5:00000010 r4:c0840a50 [ 14.588738] platform_pm_resume from dpm_run_callback+0x5c/0x14c [ 14.588757] dpm_run_callback from device_resume+0xc0/0x324 [ 14.588776] r9:c24f8054 r8:c24f80a0 r7:00000000 r6:00000000 r5:00000010 r4:c24f8010 [ 14.588779] device_resume from dpm_resume+0x130/0x160 [ 14.588799] r9:c22539e4 r8:00000010 r7:c22bebb0 r6:c24f8010 r5:c22539dc r4:c22539b0 [ 14.588802] dpm_resume from dpm_resume_end+0x14/0x20 [ 14.588822] r10:c2204e40 r9:00000000 r8:c228a3fc r7:00000000 r6:00000003 r5:c228a414 [ 14.588826] r4:00000010 [ 14.588828] dpm_resume_end from suspend_devices_and_enter+0x274/0x6f8 [ 14.588848] r5:c228a414 r4:00000000 [ 14.588851] suspend_devices_and_enter from pm_suspend+0x228/0x2bc [ 14.588868] r10:c3502910 r9:c3501f40 r8:00000004 r7:c228a438 r6:c0f95e18 r5:00000000 [ 14.588871] r4:00000003 [ 14.588874] pm_suspend from state_store+0x74/0xd0 [ 14.588889] r7:c228a438 r6:c0f934c8 r5:00000003 r4:00000003 [ 14.588892] state_store from kobj_attr_store+0x1c/0x28 [ 14.588913] r9:00000000 r8:00000000 r7:f09f9f08 r6:00000004 r5:c3502900 r4:c0283250 [ 14.588916] kobj_attr_store from sysfs_kf_write+0x40/0x4c [ 14.588936] r5:c3502900 r4:c0d92a48 [ 14.588939] sysfs_kf_write from kernfs_fop_write_iter+0x104/0x1f0 [ 14.588956] r5:c3502900 r4:c3501f40 [ 14.588960] kernfs_fop_write_iter from vfs_write+0x250/0x420 [ 14.588980] r10:c0e14b48 r9:00000000 r8:c25f5780 r7:00443398 r6:f09f9f68 r5:c34f7f00 [ 14.588983] r4:c042a88c [ 14.588987] vfs_write from ksys_write+0x74/0xe4 [ 14.589005] r10:00000004 r9:c25f5780 r8:c02002fA0 r7:00000000 r6:00000000 r5:c34f7f00 [ 14.589008] r4:c34f7f00 [ 14.589011] ksys_write from sys_write+0x10/0x14 [ 14.589029] r7:00000004 r6:004421c0 r5:00443398 r4:00000004 [ 14.589032] sys_write from ret_fast_syscall+0x0/0x5c [ 14.589044] Exception stack(0xf09f9fa8 to 0xf09f9ff0) [ 14.589050] 9fa0: 00000004 00443398 00000004 00443398 00000004 00000001 [ 14.589056] 9fc0: 00000004 00443398 004421c0 00000004 b6ecbd58 00000008 bebfbc38 0043eb78 [ 14.589062] 9fe0: 00440eb0 bebfbaf8 b6de18a0 b6e579e8 [ 14.589065] ---[ end trace 0000000000000000 ]--- The fix uses the higher level nand_reset(chip, chipnr); where chipnr = 0, when doing PM resume operation in compliance with the controller support for single die nand chip. Switching from nand_reset_op() to nan ---truncated--- Уязвимость компонента brcmnand.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pm: cpupower: bench: Prevent NULL dereference on malloc failure If malloc returns NULL due to low memory, 'config' pointer can be NULL. Add a check to prevent NULL dereference. Уязвимость компонента parse.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cifs: avoid NULL pointer dereference in dbg call cifs_server_dbg() implies server to be non-NULL so move call under condition to avoid NULL pointer dereference. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента smb2misc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Tear down vGIC on failed vCPU creation If kvm_arch_vcpu_create() fails to share the vCPU page with the hypervisor, we propagate the error back to the ioctl but leave the vGIC vCPU data initialised. Note only does this leak the corresponding memory when the vCPU is destroyed but it can also lead to use-after-free if the redistributor device handling tries to walk into the vCPU. Add the missing cleanup to kvm_arch_vcpu_create(), ensuring that the vGIC vCPU structures are destroyed on error. Уязвимость компонента arm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pwm: mediatek: Prevent divide-by-zero in pwm_mediatek_config() With CONFIG_COMPILE_TEST && !CONFIG_HAVE_CLK, pwm_mediatek_config() has a divide-by-zero in the following line: do_div(resolution, clk_get_rate(pc->clk_pwms[pwm->hwpwm])); due to the fact that the !CONFIG_HAVE_CLK version of clk_get_rate() returns zero. This is presumably just a theoretical problem: COMPILE_TEST overrides the dependency on RALINK which would select COMMON_CLK. Regardless it's a good idea to check for the error explicitly to avoid divide-by-zero. Fixes the following warning: drivers/pwm/pwm-mediatek.o: warning: objtool: .text: unexpected end of section [ukleinek: s/CONFIG_CLK/CONFIG_HAVE_CLK/] Уязвимость компонента pwm-mediatek.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: omapfb: Add 'plane' value check Function dispc_ovl_setup is not intended to work with the value OMAP_DSS_WB of the enum parameter plane. The value of this parameter is initialized in dss_init_overlays and in the current state of the code it cannot take this value so it's not a real problem. For the purposes of defensive coding it wouldn't be superfluous to check the parameter value, because some functions down the call stack process this value correctly and some not. For example, in dispc_ovl_setup_global_alpha it may lead to buffer overflow. Add check for this value. Found by Linux Verification Center (linuxtesting.org) with SVACE static analysis tool. Уязвимость компонента dispc.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: handle amdgpu_cgs_create_device() errors in amd_powerplay_create() Add error handling to propagate amdgpu_cgs_create_device() failures to the caller. When amdgpu_cgs_create_device() fails, release hwmgr and return -ENOMEM to prevent null pointer dereference. [v1]->[v2]: Change error code from -EINVAL to -ENOMEM. Free hwmgr. Уязвимость компонента amd_powerplay.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix mode1 reset crash issue If HW scheduler hangs and mode1 reset is used to recover GPU, KFD signal user space to abort the processes. After process abort exit, user queues still use the GPU to access system memory before h/w is reset while KFD cleanup worker free system memory and free VRAM. There is use-after-free race bug that KFD allocate and reuse the freed system memory, and user queue write to the same system memory to corrupt the data structure and cause driver crash. To fix this race, KFD cleanup worker terminate user queues, then flush reset_domain wq to wait for any GPU ongoing reset complete, and then free outstanding BOs. Уязвимость компонента kfd_process.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: st: Fix array overflow in st_setup() Change the array size to follow parms size instead of a fixed value. Уязвимость компонента st.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/jfs: Prevent integer overflow in AG size calculation The JFS filesystem calculates allocation group (AG) size using 1 << l2agsize in dbExtendFS(). When l2agsize exceeds 31 (possible with >2TB aggregates on 32-bit systems), this 32-bit shift operation causes undefined behavior and improper AG sizing. On 32-bit architectures: - Left-shifting 1 by 32+ bits results in 0 due to integer overflow - This creates invalid AG sizes (0 or garbage values) in sbi->bmap->db_agsize - Subsequent block allocations would reference invalid AG structures - Could lead to: - Filesystem corruption during extend operations - Kernel crashes due to invalid memory accesses - Security vulnerabilities via malformed on-disk structures Fix by casting to s64 before shifting: bmp->db_agsize = (s64)1 << l2agsize; This ensures 64-bit arithmetic even on 32-bit architectures. The cast matches the data type of db_agsize (s64) and follows similar patterns in JFS block calculation code. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента jfs_dmap.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: page_pool: avoid infinite loop to schedule delayed worker We noticed the kworker in page_pool_release_retry() was waken up repeatedly and infinitely in production because of the buggy driver causing the inflight less than 0 and warning us in page_pool_inflight()[1]. Since the inflight value goes negative, it means we should not expect the whole page_pool to get back to work normally. This patch mitigates the adverse effect by not rescheduling the kworker when detecting the inflight negative in page_pool_release_retry(). [1] [Mon Feb 10 20:36:11 2025] ------------[ cut here ]------------ [Mon Feb 10 20:36:11 2025] Negative(-51446) inflight packet-pages ... [Mon Feb 10 20:36:11 2025] Call Trace: [Mon Feb 10 20:36:11 2025] page_pool_release_retry+0x23/0x70 [Mon Feb 10 20:36:11 2025] process_one_work+0x1b1/0x370 [Mon Feb 10 20:36:11 2025] worker_thread+0x37/0x3a0 [Mon Feb 10 20:36:11 2025] kthread+0x11a/0x140 [Mon Feb 10 20:36:11 2025] ? process_one_work+0x370/0x370 [Mon Feb 10 20:36:11 2025] ? __kthread_cancel_work+0x40/0x40 [Mon Feb 10 20:36:11 2025] ret_from_fork+0x35/0x40 [Mon Feb 10 20:36:11 2025] ---[ end trace ebffe800f33e7e34 ]--- Note: before this patch, the above calltrace would flood the dmesg due to repeated reschedule of release_dw kworker. Уязвимость компонента page_pool.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: pidff: Fix null pointer dereference in pidff_find_fields This function triggered a null pointer dereference if used to search for a report that isn't implemented on the device. This happened both for optional and required reports alike. The same logic was applied to pidff_find_special_field and although pidff_init_fields should return an error earlier if one of the required reports is missing, future modifications could change this logic and resurface this possible null pointer dereference again. LKML bug report: https://lore.kernel.org/all/CAL-gK7f5=R0nrrQdPtaZZr1fd-cdAMbDMuZ_NLA8vM0SX+nGSw@mail.gmail.com Уязвимость компонента hid-pidff.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: fix -ENOENT when deleting VLANs and MST is unsupported Russell King reports that on the ZII dev rev B, deleting a bridge VLAN from a user port fails with -ENOENT: https://lore.kernel.org/netdev/Z_lQXNP0s5-IiJzd@shell.armlinux.org.uk/ This comes from mv88e6xxx_port_vlan_leave() -> mv88e6xxx_mst_put(), which tries to find an MST entry in &chip->msts associated with the SID, but fails and returns -ENOENT as such. But we know that this chip does not support MST at all, so that is not surprising. The question is why does the guard in mv88e6xxx_mst_put() not exit early: if (!sid) return 0; And the answer seems to be simple: the sid comes from vlan.sid which supposedly was previously populated by mv88e6xxx_vtu_get(). But some chip->info->ops->vtu_getnext() implementations do not populate vlan.sid, for example see mv88e6185_g1_vtu_getnext(). In that case, later in mv88e6xxx_port_vlan_leave() we are using a garbage sid which is just residual stack memory. Testing for sid == 0 covers all cases of a non-bridge VLAN or a bridge VLAN mapped to the default MSTI. For some chips, SID 0 is valid and installed by mv88e6xxx_stu_setup(). A chip which does not support the STU would implicitly only support mapping all VLANs to the default MSTI, so although SID 0 is not valid, it would be sufficient, if we were to zero-initialize the vlan structure, to fix the bug, due to the coincidence that a test for vlan.sid == 0 already exists and leads to the same (correct) behavior. Another option which would be sufficient would be to add a test for mv88e6xxx_has_stu() inside mv88e6xxx_mst_put(), symmetric to the one which already exists in mv88e6xxx_mst_get(). But that placement means the caller will have to dereference vlan.sid, which means it will access uninitialized memory, which is not nice even if it ignores it later. So we end up making both modifications, in order to not rely just on the sid == 0 coincidence, but also to avoid having uninitialized structure fields which might get temporarily accessed. Уязвимость компонента chip.c ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Silence oversized kvmalloc() warning syzkaller triggered an oversized kvmalloc() warning. Silence it by adding __GFP_NOWARN. syzkaller log: WARNING: CPU: 7 PID: 518 at mm/util.c:665 __kvmalloc_node_noprof+0x175/0x180 CPU: 7 UID: 0 PID: 518 Comm: c_repro Not tainted 6.11.0-rc6+ #6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:__kvmalloc_node_noprof+0x175/0x180 RSP: 0018:ffffc90001e67c10 EFLAGS: 00010246 RAX: 0000000000000100 RBX: 0000000000000400 RCX: ffffffff8149d46b RDX: 0000000000000000 RSI: ffff8881030fae80 RDI: 0000000000000002 RBP: 000000712c800000 R08: 0000000000000100 R09: 0000000000000000 R10: ffffc90001e67c10 R11: 0030ae0601000000 R12: 0000000000000000 R13: 0000000000000000 R14: 00000000ffffffff R15: 0000000000000000 FS: 00007fde79159740(0000) GS:ffff88813bdc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000180 CR3: 0000000105eb4005 CR4: 00000000003706b0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ib_umem_odp_get+0x1f6/0x390 mlx5_ib_reg_user_mr+0x1e8/0x450 ib_uverbs_reg_mr+0x28b/0x440 ib_uverbs_write+0x7d3/0xa30 vfs_write+0x1ac/0x6c0 ksys_write+0x134/0x170 ? __sanitizer_cov_trace_pc+0x1c/0x50 do_syscall_64+0x50/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента umem_odp.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: decrease sc_count directly if fail to queue dl_recall A deadlock warning occurred when invoking nfs4_put_stid following a failed dl_recall queue operation: T1 T2 nfs4_laundromat nfs4_get_client_reaplist nfs4_anylock_blockers __break_lease spin_lock // ctx->flc_lock spin_lock // clp->cl_lock nfs4_lockowner_has_blockers locks_owner_has_blockers spin_lock // flctx->flc_lock nfsd_break_deleg_cb nfsd_break_one_deleg nfs4_put_stid refcount_dec_and_lock spin_lock // clp->cl_lock When a file is opened, an nfs4_delegation is allocated with sc_count initialized to 1, and the file_lease holds a reference to the delegation. The file_lease is then associated with the file through kernel_setlease. The disassociation is performed in nfsd4_delegreturn via the following call chain: nfsd4_delegreturn --> destroy_delegation --> destroy_unhashed_deleg --> nfs4_unlock_deleg_lease --> kernel_setlease --> generic_delete_lease The corresponding sc_count reference will be released after this disassociation. Since nfsd_break_one_deleg executes while holding the flc_lock, the disassociation process becomes blocked when attempting to acquire flc_lock in generic_delete_lease. This means: 1) sc_count in nfsd_break_one_deleg will not be decremented to 0; 2) The nfs4_put_stid called by nfsd_break_one_deleg will not attempt to acquire cl_lock; 3) Consequently, no deadlock condition is created. Given that sc_count in nfsd_break_one_deleg remains non-zero, we can safely perform refcount_dec on sc_count directly. This approach effectively avoids triggering deadlock warnings. Уязвимость компонента nfs4state.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: igc: fix PTM cycle trigger logic Writing to clear the PTM status 'valid' bit while the PTM cycle is triggered results in unreliable PTM operation. To fix this, clear the PTM 'trigger' and status after each PTM transaction. The issue can be reproduced with the following: $ sudo phc2sys -R 1000 -O 0 -i tsn0 -m Note: 1000 Hz (-R 1000) is unrealistically large, but provides a way to quickly reproduce the issue. PHC2SYS exits with: "ioctl PTP_OFFSET_PRECISE: Connection timed out" when the PTM transaction fails This patch also fixes a hang in igc_probe() when loading the igc driver in the kdump kernel on systems supporting PTM. The igc driver running in the base kernel enables PTM trigger in igc_probe(). Therefore the driver is always in PTM trigger mode, except in brief periods when manually triggering a PTM cycle. When a crash occurs, the NIC is reset while PTM trigger is enabled. Due to a hardware problem, the NIC is subsequently in a bad busmaster state and doesn't handle register reads/writes. When running igc_probe() in the kdump kernel, the first register access to a NIC register hangs driver probing and ultimately breaks kdump. With this patch, igc has PTM trigger disabled most of the time, and the trigger is only enabled for very brief (10 - 100 us) periods when manually triggering a PTM cycle. Chances that a crash occurs during a PTM trigger are not 0, but extremely reduced. Уязвимость компонентов igc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: 9p/net: fix improper handling of bogus negative read/write replies In p9_client_write() and p9_client_read_once(), if the server incorrectly replies with success but a negative write/read count then we would consider written (negative) <= rsize (positive) because both variables were signed. Make variables unsigned to avoid this problem. The reproducer linked below now fails with the following error instead of a null pointer deref: 9pnet: bogus RWRITE count (4294967295 > 3) Уязвимость функции p9_client_write() компонента 9p/net ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: aspeed: Add NULL pointer check in ast_vhub_init_dev() The variable d->name, returned by devm_kasprintf(), could be NULL. A pointer check is added to prevent potential NULL pointer dereference. This is similar to the fix in commit 3027e7b15b02 ("ice: Fix some null pointer dereference issues in ice_ptp.c"). This issue is found by our static analysis tool Уязвимость компонента dev.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/sclp: Add check for get_zeroed_page() Add check for the return value of get_zeroed_page() in sclp_console_init() to prevent null pointer dereference. Furthermore, to solve the memory leak caused by the loop allocation, add a free helper to do the free job. Уязвимость компонента sclp_con.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix deadlock between rcu_tasks_trace and event_mutex. Fix the following deadlock: CPU A _free_event() perf_kprobe_destroy() mutex_lock(&event_mutex) perf_trace_event_unreg() synchronize_rcu_tasks_trace() There are several paths where _free_event() grabs event_mutex and calls sync_rcu_tasks_trace. Above is one such case. CPU B bpf_prog_test_run_syscall() rcu_read_lock_trace() bpf_prog_run_pin_on_cpu() bpf_prog_load() bpf_tracing_func_proto() trace_set_clr_event() mutex_lock(&event_mutex) Delegate trace_set_clr_event() to workqueue to avoid such lock dependency. Уязвимость компонента bpf_trace.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Reset IRTE to host control if *new* route isn't postable Restore an IRTE back to host control (remapped or posted MSI mode) if the *new* GSI route prevents posting the IRQ directly to a vCPU, regardless of the GSI routing type. Updating the IRTE if and only if the new GSI is an MSI results in KVM leaving an IRTE posting to a vCPU. The dangling IRTE can result in interrupts being incorrectly delivered to the guest, and in the worst case scenario can result in use-after-free, e.g. if the VM is torn down, but the underlying host IRQ isn't freed. Уязвимость компонента avic.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Fix a UAF vulnerability in class with netem as child qdisc As described in Gerrard's report [1], we have a UAF case when an hfsc class has a netem child qdisc. The crux of the issue is that hfsc is assuming that checking for cl->qdisc->q.qlen == 0 guarantees that it hasn't inserted the class in the vttree or eltree (which is not true for the netem duplicate case). This patch checks the n_active class variable to make sure that the code won't insert the class in the vttree or eltree twice, catering for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость модуля net/sched/sch_hfsc.c ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: inftlcore: Add error check for inftl_read_oob() In INFTL_findwriteunit(), the return value of inftl_read_oob() need to be checked. A proper implementation can be found in INFTL_deleteblock(). The status will be set as SECTOR_IGNORE to break from the while-loop correctly if the inftl_read_oob() fails. Уязвимость компонента inftlcore.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: plfxlc: Remove erroneous assert in plfxlc_mac_release plfxlc_mac_release() asserts that mac->lock is held. This assertion is incorrect, because even if it was possible, it would not be the valid behaviour. The function is used when probe fails or after the device is disconnected. In both cases mac->lock can not be held as the driver is not working with the device at the moment. All functions that use mac->lock unlock it just after it was held. There is also no need to hold mac->lock for plfxlc_mac_release() itself, as mac data is not affected, except for mac->flags, which is modified atomically. This bug leads to the following warning: ================================================================ WARNING: CPU: 0 PID: 127 at drivers/net/wireless/purelifi/plfxlc/mac.c:106 plfxlc_mac_release+0x7d/0xa0 Modules linked in: CPU: 0 PID: 127 Comm: kworker/0:2 Not tainted 6.1.124-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: usb_hub_wq hub_event RIP: 0010:plfxlc_mac_release+0x7d/0xa0 drivers/net/wireless/purelifi/plfxlc/mac.c:106 Call Trace: <TASK> probe+0x941/0xbd0 drivers/net/wireless/purelifi/plfxlc/usb.c:694 usb_probe_interface+0x5c0/0xaf0 drivers/usb/core/driver.c:396 really_probe+0x2ab/0xcb0 drivers/base/dd.c:639 __driver_probe_device+0x1a2/0x3d0 drivers/base/dd.c:785 driver_probe_device+0x50/0x420 drivers/base/dd.c:815 __device_attach_driver+0x2cf/0x510 drivers/base/dd.c:943 bus_for_each_drv+0x183/0x200 drivers/base/bus.c:429 __device_attach+0x359/0x570 drivers/base/dd.c:1015 bus_probe_device+0xba/0x1e0 drivers/base/bus.c:489 device_add+0xb48/0xfd0 drivers/base/core.c:3696 usb_set_configuration+0x19dd/0x2020 drivers/usb/core/message.c:2165 usb_generic_driver_probe+0x84/0x140 drivers/usb/core/generic.c:238 usb_probe_device+0x130/0x260 drivers/usb/core/driver.c:293 really_probe+0x2ab/0xcb0 drivers/base/dd.c:639 __driver_probe_device+0x1a2/0x3d0 drivers/base/dd.c:785 driver_probe_device+0x50/0x420 drivers/base/dd.c:815 __device_attach_driver+0x2cf/0x510 drivers/base/dd.c:943 bus_for_each_drv+0x183/0x200 drivers/base/bus.c:429 __device_attach+0x359/0x570 drivers/base/dd.c:1015 bus_probe_device+0xba/0x1e0 drivers/base/bus.c:489 device_add+0xb48/0xfd0 drivers/base/core.c:3696 usb_new_device+0xbdd/0x18f0 drivers/usb/core/hub.c:2620 hub_port_connect drivers/usb/core/hub.c:5477 [inline] hub_port_connect_change drivers/usb/core/hub.c:5617 [inline] port_event drivers/usb/core/hub.c:5773 [inline] hub_event+0x2efe/0x5730 drivers/usb/core/hub.c:5855 process_one_work+0x8a9/0x11d0 kernel/workqueue.c:2292 worker_thread+0xa47/0x1200 kernel/workqueue.c:2439 kthread+0x28d/0x320 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:295 </TASK> ================================================================ Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента mac.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in session logoff The sess->user object can currently be in use by another thread, for example if another connection has sent a session setup request to bind to the session being free'd. The handler for that connection could be in the smb2_sess_setup function which makes use of sess->user. Уязвимость функции smb2_sess_setup модуля fs/smb/server/smb2pdu.c компонента ksmbd ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Настройте брандмауэр для ограничения доступа к SMB сервису только с доверенных IP-адресов - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/qcom-mpm: Prevent crash when trying to handle non-wake GPIOs On Qualcomm chipsets not all GPIOs are wakeup capable. Those GPIOs do not have a corresponding MPM pin and should not be handled inside the MPM driver. The IRQ domain hierarchy is always applied, so it's required to explicitly disconnect the hierarchy for those. The pinctrl-msm driver marks these with GPIO_NO_WAKE_IRQ. qcom-pdc has a check for this, but irq-qcom-mpm is currently missing the check. This is causing crashes when setting up interrupts for non-wake GPIOs: root@rb1:~# gpiomon -c gpiochip1 10 irq: IRQ159: trimming hierarchy from :soc@0:interrupt-controller@f200000-1 Unable to handle kernel paging request at virtual address ffff8000a1dc3820 Hardware name: Qualcomm Technologies, Inc. Robotics RB1 (DT) pc : mpm_set_type+0x80/0xcc lr : mpm_set_type+0x5c/0xcc Call trace: mpm_set_type+0x80/0xcc (P) qcom_mpm_set_type+0x64/0x158 irq_chip_set_type_parent+0x20/0x38 msm_gpio_irq_set_type+0x50/0x530 __irq_set_trigger+0x60/0x184 __setup_irq+0x304/0x6bc request_threaded_irq+0xc8/0x19c edge_detector_setup+0x260/0x364 linereq_create+0x420/0x5a8 gpio_ioctl+0x2d4/0x6c0 Fix this by copying the check for GPIO_NO_WAKE_IRQ from qcom-pdc.c, so that MPM is removed entirely from the hierarchy for non-wake GPIOs. Уязвимость компонента irq-qcom-mpm.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix slab-use-after-free in hdcp The HDCP code in amdgpu_dm_hdcp.c copies pointers to amdgpu_dm_connector objects without incrementing the kref reference counts. When using a USB-C dock, and the dock is unplugged, the corresponding amdgpu_dm_connector objects are freed, creating dangling pointers in the HDCP code. When the dock is plugged back, the dangling pointers are dereferenced, resulting in a slab-use-after-free: [ 66.775837] BUG: KASAN: slab-use-after-free in event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.776171] Read of size 4 at addr ffff888127804120 by task kworker/0:1/10 [ 66.776179] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Not tainted 6.14.0-rc7-00180-g54505f727a38-dirty #233 [ 66.776183] Hardware name: HP HP Pavilion Aero Laptop 13-be0xxx/8916, BIOS F.17 12/18/2024 [ 66.776186] Workqueue: events event_property_validate [amdgpu] [ 66.776494] Call Trace: [ 66.776496] <TASK> [ 66.776497] dump_stack_lvl+0x70/0xa0 [ 66.776504] print_report+0x175/0x555 [ 66.776507] ? __virt_addr_valid+0x243/0x450 [ 66.776510] ? kasan_complete_mode_report_info+0x66/0x1c0 [ 66.776515] kasan_report+0xeb/0x1c0 [ 66.776518] ? event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.776819] ? event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.777121] __asan_report_load4_noabort+0x14/0x20 [ 66.777124] event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.777342] ? __lock_acquire+0x6b40/0x6b40 [ 66.777347] ? enable_assr+0x250/0x250 [amdgpu] [ 66.777571] process_one_work+0x86b/0x1510 [ 66.777575] ? pwq_dec_nr_in_flight+0xcf0/0xcf0 [ 66.777578] ? assign_work+0x16b/0x280 [ 66.777580] ? lock_is_held_type+0xa3/0x130 [ 66.777583] worker_thread+0x5c0/0xfa0 [ 66.777587] ? process_one_work+0x1510/0x1510 [ 66.777588] kthread+0x3a2/0x840 [ 66.777591] ? kthread_is_per_cpu+0xd0/0xd0 [ 66.777594] ? trace_hardirqs_on+0x4f/0x60 [ 66.777597] ? _raw_spin_unlock_irq+0x27/0x60 [ 66.777599] ? calculate_sigpending+0x77/0xa0 [ 66.777602] ? kthread_is_per_cpu+0xd0/0xd0 [ 66.777605] ret_from_fork+0x40/0x90 [ 66.777607] ? kthread_is_per_cpu+0xd0/0xd0 [ 66.777609] ret_from_fork_asm+0x11/0x20 [ 66.777614] </TASK> [ 66.777643] Allocated by task 10: [ 66.777646] kasan_save_stack+0x39/0x60 [ 66.777649] kasan_save_track+0x14/0x40 [ 66.777652] kasan_save_alloc_info+0x37/0x50 [ 66.777655] __kasan_kmalloc+0xbb/0xc0 [ 66.777658] __kmalloc_cache_noprof+0x1c8/0x4b0 [ 66.777661] dm_dp_add_mst_connector+0xdd/0x5c0 [amdgpu] [ 66.777880] drm_dp_mst_port_add_connector+0x47e/0x770 [drm_display_helper] [ 66.777892] drm_dp_send_link_address+0x1554/0x2bf0 [drm_display_helper] [ 66.777901] drm_dp_check_and_send_link_address+0x187/0x1f0 [drm_display_helper] [ 66.777909] drm_dp_mst_link_probe_work+0x2b8/0x410 [drm_display_helper] [ 66.777917] process_one_work+0x86b/0x1510 [ 66.777919] worker_thread+0x5c0/0xfa0 [ 66.777922] kthread+0x3a2/0x840 [ 66.777925] ret_from_fork+0x40/0x90 [ 66.777927] ret_from_fork_asm+0x11/0x20 [ 66.777932] Freed by task 1713: [ 66.777935] kasan_save_stack+0x39/0x60 [ 66.777938] kasan_save_track+0x14/0x40 [ 66.777940] kasan_save_free_info+0x3b/0x60 [ 66.777944] __kasan_slab_free+0x52/0x70 [ 66.777946] kfree+0x13f/0x4b0 [ 66.777949] dm_dp_mst_connector_destroy+0xfa/0x150 [amdgpu] [ 66.778179] drm_connector_free+0x7d/0xb0 [ 66.778184] drm_mode_object_put.part.0+0xee/0x160 [ 66.778188] drm_mode_object_put+0x37/0x50 [ 66.778191] drm_atomic_state_default_clear+0x220/0xd60 [ 66.778194] __drm_atomic_state_free+0x16e/0x2a0 [ 66.778197] drm_mode_atomic_ioctl+0x15ed/0x2ba0 [ 66.778200] drm_ioctl_kernel+0x17a/0x310 [ 66.778203] drm_ioctl+0x584/0xd10 [ 66.778206] amdgpu_drm_ioctl+0xd2/0x1c0 [amdgpu] [ 66.778375] __x64_sys_ioctl+0x139/0x1a0 [ 66.778378] x64_sys_call+0xee7/0xfb0 [ 66.778381] ---truncated--- Уязвимость компонента amdgpu_dm_hdcp.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_scmi: Balance device refcount when destroying devices Using device_find_child() to lookup the proper SCMI device to destroy causes an unbalance in device refcount, since device_find_child() calls an implicit get_device(): this, in turns, inhibits the call of the provided release methods upon devices destruction. As a consequence, one of the structures that is not freed properly upon destruction is the internal struct device_private dev->p populated by the drivers subsystem core. KMemleak detects this situation since loading/unloding some SCMI driver causes related devices to be created/destroyed without calling any device_release method. unreferenced object 0xffff00000f583800 (size 512): comm "insmod", pid 227, jiffies 4294912190 hex dump (first 32 bytes): 00 00 00 00 ad 4e ad de ff ff ff ff 00 00 00 00 .....N.......... ff ff ff ff ff ff ff ff 60 36 1d 8a 00 80 ff ff ........`6...... backtrace (crc 114e2eed): kmemleak_alloc+0xbc/0xd8 __kmalloc_cache_noprof+0x2dc/0x398 device_add+0x954/0x12d0 device_register+0x28/0x40 __scmi_device_create.part.0+0x1bc/0x380 scmi_device_create+0x2d0/0x390 scmi_create_protocol_devices+0x74/0xf8 scmi_device_request_notifier+0x1f8/0x2a8 notifier_call_chain+0x110/0x3b0 blocking_notifier_call_chain+0x70/0xb0 scmi_driver_register+0x350/0x7f0 0xffff80000a3b3038 do_one_initcall+0x12c/0x730 do_init_module+0x1dc/0x640 load_module+0x4b20/0x5b70 init_module_from_file+0xec/0x158 $ ./scripts/faddr2line ./vmlinux device_add+0x954/0x12d0 device_add+0x954/0x12d0: kmalloc_noprof at include/linux/slab.h:901 (inlined by) kzalloc_noprof at include/linux/slab.h:1037 (inlined by) device_private_init at drivers/base/core.c:3510 (inlined by) device_add at drivers/base/core.c:3561 Balance device refcount by issuing a put_device() on devices found via device_find_child(). Уязвимость компонента bus.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: lan743x: Fix memleak issue when GSO enabled Always map the `skb` to the LS descriptor. Previously skb was mapped to EXT descriptor when the number of fragments is zero with GSO enabled. Mapping the skb to EXT descriptor prevents it from being freed, leading to a memory leak Уязвимость компонентов microchip ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix out-of-bound memcpy() during ethtool -w When retrieving the FW coredump using ethtool, it can sometimes cause memory corruption: BUG: KFENCE: memory corruption in __bnxt_get_coredump+0x3ef/0x670 [bnxt_en] Corrupted memory at 0x000000008f0f30e8 [ ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ] (in kfence-#45): __bnxt_get_coredump+0x3ef/0x670 [bnxt_en] ethtool_get_dump_data+0xdc/0x1a0 __dev_ethtool+0xa1e/0x1af0 dev_ethtool+0xa8/0x170 dev_ioctl+0x1b5/0x580 sock_do_ioctl+0xab/0xf0 sock_ioctl+0x1ce/0x2e0 __x64_sys_ioctl+0x87/0xc0 do_syscall_64+0x5c/0xf0 entry_SYSCALL_64_after_hwframe+0x78/0x80 ... This happens when copying the coredump segment list in bnxt_hwrm_dbg_dma_data() with the HWRM_DBG_COREDUMP_LIST FW command. The info->dest_buf buffer is allocated based on the number of coredump segments returned by the FW. The segment list is then DMA'ed by the FW and the length of the DMA is returned by FW. The driver then copies this DMA'ed segment list to info->dest_buf. In some cases, this DMA length may exceed the info->dest_buf length and cause the above BUG condition. Fix it by capping the copy length to not exceed the length of info->dest_buf. The extra DMA data contains no useful information. This code path is shared for the HWRM_DBG_COREDUMP_LIST and the HWRM_DBG_COREDUMP_RETRIEVE FW commands. The buffering is different for these 2 FW commands. To simplify the logic, we need to move the line to adjust the buffer length for HWRM_DBG_COREDUMP_RETRIEVE up, so that the new check to cap the copy length will work for both commands. Уязвимость компонента bnxt_coredump.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ice: Check VF VSI Pointer Value in ice_vc_add_fdir_fltr() As mentioned in the commit baeb705fd6a7 ("ice: always check VF VSI pointer values"), we need to perform a null pointer check on the return value of ice_get_vf_vsi() before using it. Уязвимость функции ice_vc_add_fdir_fltr() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: qfq: Fix double list add in class with netem as child qdisc As described in Gerrard's report [1], there are use cases where a netem child qdisc will make the parent qdisc's enqueue callback reentrant. In the case of qfq, there won't be a UAF, but the code will add the same classifier to the list twice, which will cause memory corruption. This patch checks whether the class was already added to the agg->active list (cl_is_active) before doing the addition to cater for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость компонента net/sched/sch_qfq.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: ets: Fix double list add in class with netem as child qdisc As described in Gerrard's report [1], there are use cases where a netem child qdisc will make the parent qdisc's enqueue callback reentrant. In the case of ets, there won't be a UAF, but the code will add the same classifier to the list twice, which will cause memory corruption. In addition to checking for qlen being zero, this patch checks whether the class was already added to the active_list (cl_is_active) before doing the addition to cater for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость компонента sch_ets.c ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: drr: Fix double list add in class with netem as child qdisc As described in Gerrard's report [1], there are use cases where a netem child qdisc will make the parent qdisc's enqueue callback reentrant. In the case of drr, there won't be a UAF, but the code will add the same classifier to the list twice, which will cause memory corruption. In addition to checking for qlen being zero, this patch checks whether the class was already added to the active_list (cl_is_active) before adding to the list to cover for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость компонента sch_drr.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: mtk-star-emac: fix spinlock recursion issues on rx/tx poll Use spin_lock_irqsave and spin_unlock_irqrestore instead of spin_lock and spin_unlock in mtk_star_emac driver to avoid spinlock recursion occurrence that can happen when enabling the DMA interrupts again in rx/tx poll. ``` BUG: spinlock recursion on CPU#0, swapper/0/0 lock: 0xffff00000db9cf20, .magic: dead4ead, .owner: swapper/0/0, .owner_cpu: 0 CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.15.0-rc2-next-20250417-00001-gf6a27738686c-dirty #28 PREEMPT Hardware name: MediaTek MT8365 Open Platform EVK (DT) Call trace: show_stack+0x18/0x24 (C) dump_stack_lvl+0x60/0x80 dump_stack+0x18/0x24 spin_dump+0x78/0x88 do_raw_spin_lock+0x11c/0x120 _raw_spin_lock+0x20/0x2c mtk_star_handle_irq+0xc0/0x22c [mtk_star_emac] __handle_irq_event_percpu+0x48/0x140 handle_irq_event+0x4c/0xb0 handle_fasteoi_irq+0xa0/0x1bc handle_irq_desc+0x34/0x58 generic_handle_domain_irq+0x1c/0x28 gic_handle_irq+0x4c/0x120 do_interrupt_handler+0x50/0x84 el1_interrupt+0x34/0x68 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x6c/0x70 regmap_mmio_read32le+0xc/0x20 (P) _regmap_bus_reg_read+0x6c/0xac _regmap_read+0x60/0xdc regmap_read+0x4c/0x80 mtk_star_rx_poll+0x2f4/0x39c [mtk_star_emac] __napi_poll+0x38/0x188 net_rx_action+0x164/0x2c0 handle_softirqs+0x100/0x244 __do_softirq+0x14/0x20 ____do_softirq+0x10/0x20 call_on_irq_stack+0x24/0x64 do_softirq_own_stack+0x1c/0x40 __irq_exit_rcu+0xd4/0x10c irq_exit_rcu+0x10/0x1c el1_interrupt+0x38/0x68 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x6c/0x70 cpuidle_enter_state+0xac/0x320 (P) cpuidle_enter+0x38/0x50 do_idle+0x1e4/0x260 cpu_startup_entry+0x34/0x3c rest_init+0xdc/0xe0 console_on_rootfs+0x0/0x6c __primary_switched+0x88/0x90 ``` Уязвимость компонента mtk_star_emac.c ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vxlan: vnifilter: Fix unlocked deletion of default FDB entry When a VNI is deleted from a VXLAN device in 'vnifilter' mode, the FDB entry associated with the default remote (assuming one was configured) is deleted without holding the hash lock. This is wrong and will result in a warning [1] being generated by the lockdep annotation that was added by commit ebe642067455 ("vxlan: Create wrappers for FDB lookup"). Reproducer: # ip link add vx0 up type vxlan dstport 4789 external vnifilter local 192.0.2.1 # bridge vni add vni 10010 remote 198.51.100.1 dev vx0 # bridge vni del vni 10010 dev vx0 Fix by acquiring the hash lock before the deletion and releasing it afterwards. Blame the original commit that introduced the issue rather than the one that exposed it. [1] WARNING: CPU: 3 PID: 392 at drivers/net/vxlan/vxlan_core.c:417 vxlan_find_mac+0x17f/0x1a0 [...] RIP: 0010:vxlan_find_mac+0x17f/0x1a0 [...] Call Trace: <TASK> __vxlan_fdb_delete+0xbe/0x560 vxlan_vni_delete_group+0x2ba/0x940 vxlan_vni_del.isra.0+0x15f/0x580 vxlan_process_vni_filter+0x38b/0x7b0 vxlan_vnifilter_process+0x3bb/0x510 rtnetlink_rcv_msg+0x2f7/0xb70 netlink_rcv_skb+0x131/0x360 netlink_unicast+0x426/0x710 netlink_sendmsg+0x75a/0xc20 __sock_sendmsg+0xc1/0x150 ____sys_sendmsg+0x5aa/0x7b0 ___sys_sendmsg+0xfc/0x180 __sys_sendmsg+0x121/0x1b0 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента vxlan_vnifilter.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix oob write in trace_seq_to_buffer() syzbot reported this bug: ================================================================== BUG: KASAN: slab-out-of-bounds in trace_seq_to_buffer kernel/trace/trace.c:1830 [inline] BUG: KASAN: slab-out-of-bounds in tracing_splice_read_pipe+0x6be/0xdd0 kernel/trace/trace.c:6822 Write of size 4507 at addr ffff888032b6b000 by task syz.2.320/7260 CPU: 1 UID: 0 PID: 7260 Comm: syz.2.320 Not tainted 6.15.0-rc1-syzkaller-00301-g3bde70a2c827 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0xef/0x1a0 mm/kasan/generic.c:189 __asan_memcpy+0x3c/0x60 mm/kasan/shadow.c:106 trace_seq_to_buffer kernel/trace/trace.c:1830 [inline] tracing_splice_read_pipe+0x6be/0xdd0 kernel/trace/trace.c:6822 .... ================================================================== It has been reported that trace_seq_to_buffer() tries to copy more data than PAGE_SIZE to buf. Therefore, to prevent this, we should use the smaller of trace_seq_used(&iter->seq) and PAGE_SIZE as an argument. Уязвимость компонента trace.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in kerberos authentication Setting sess->user = NULL was introduced to fix the dangling pointer created by ksmbd_free_user. However, it is possible another thread could be operating on the session and make use of sess->user after it has been passed to ksmbd_free_user but before sess->user is set to NULL. Уязвимость компонента auth.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: reject on-disk inodes of an unsupported type Syzbot has reported the following BUG: kernel BUG at fs/inode.c:668! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 3 UID: 0 PID: 139 Comm: jfsCommit Not tainted 6.12.0-rc4-syzkaller-00085-g4e46774408d9 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 RIP: 0010:clear_inode+0x168/0x190 Code: 4c 89 f7 e8 ba fe e5 ff e9 61 ff ff ff 44 89 f1 80 e1 07 80 c1 03 38 c1 7c c1 4c 89 f7 e8 90 ff e5 ff eb b7 0b e8 01 5d 7f ff 90 0f 0b e8 f9 5c 7f ff 90 0f 0b e8 f1 5c 7f RSP: 0018:ffffc900027dfae8 EFLAGS: 00010093 RAX: ffffffff82157a87 RBX: 0000000000000001 RCX: ffff888104d4b980 RDX: 0000000000000000 RSI: 0000000000000001 RDI: 0000000000000000 RBP: ffffc900027dfc90 R08: ffffffff82157977 R09: fffff520004fbf38 R10: dffffc0000000000 R11: fffff520004fbf38 R12: dffffc0000000000 R13: ffff88811315bc00 R14: ffff88811315bda8 R15: ffff88811315bb80 FS: 0000000000000000(0000) GS:ffff888135f00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00005565222e0578 CR3: 0000000026ef0000 CR4: 00000000000006f0 Call Trace: <TASK> ? __die_body+0x5f/0xb0 ? die+0x9e/0xc0 ? do_trap+0x15a/0x3a0 ? clear_inode+0x168/0x190 ? do_error_trap+0x1dc/0x2c0 ? clear_inode+0x168/0x190 ? __pfx_do_error_trap+0x10/0x10 ? report_bug+0x3cd/0x500 ? handle_invalid_op+0x34/0x40 ? clear_inode+0x168/0x190 ? exc_invalid_op+0x38/0x50 ? asm_exc_invalid_op+0x1a/0x20 ? clear_inode+0x57/0x190 ? clear_inode+0x167/0x190 ? clear_inode+0x168/0x190 ? clear_inode+0x167/0x190 jfs_evict_inode+0xb5/0x440 ? __pfx_jfs_evict_inode+0x10/0x10 evict+0x4ea/0x9b0 ? __pfx_evict+0x10/0x10 ? iput+0x713/0xa50 txUpdateMap+0x931/0xb10 ? __pfx_txUpdateMap+0x10/0x10 jfs_lazycommit+0x49a/0xb80 ? _raw_spin_unlock_irqrestore+0x8f/0x140 ? lockdep_hardirqs_on+0x99/0x150 ? __pfx_jfs_lazycommit+0x10/0x10 ? __pfx_default_wake_function+0x10/0x10 ? __kthread_parkme+0x169/0x1d0 ? __pfx_jfs_lazycommit+0x10/0x10 kthread+0x2f2/0x390 ? __pfx_jfs_lazycommit+0x10/0x10 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x4d/0x80 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> This happens when 'clear_inode()' makes an attempt to finalize an underlying JFS inode of unknown type. According to JFS layout description from https://jfs.sourceforge.net/project/pub/jfslayout.pdf, inode types from 5 to 15 are reserved for future extensions and should not be encountered on a valid filesystem. So add an extra check for valid inode type in 'copy_from_dinode()'. Уязвимость компонента jfs_imap.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/amd: Fix potential buffer overflow in parse_ivrs_acpihid There is a string parsing logic error which can lead to an overflow of hid or uid buffers. Comparing ACPIID_LEN against a total string length doesn't take into account the lengths of individual hid and uid buffers so the check is insufficient in some cases. For example if the length of hid string is 4 and the length of the uid string is 260, the length of str will be equal to ACPIID_LEN + 1 but uid string will overflow uid buffer which size is 256. The same applies to the hid string with length 13 and uid string with length 250. Check the length of hid and uid strings separately to prevent buffer overflow. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента init.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm-bufio: don't schedule in atomic context A BUG was reported as below when CONFIG_DEBUG_ATOMIC_SLEEP and try_verify_in_tasklet are enabled. [ 129.444685][ T934] BUG: sleeping function called from invalid context at drivers/md/dm-bufio.c:2421 [ 129.444723][ T934] in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 934, name: kworker/1:4 [ 129.444740][ T934] preempt_count: 201, expected: 0 [ 129.444756][ T934] RCU nest depth: 0, expected: 0 [ 129.444781][ T934] Preemption disabled at: [ 129.444789][ T934] [<ffffffd816231900>] shrink_work+0x21c/0x248 [ 129.445167][ T934] kernel BUG at kernel/sched/walt/walt_debug.c:16! [ 129.445183][ T934] Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [ 129.445204][ T934] Skip md ftrace buffer dump for: 0x1609e0 [ 129.447348][ T934] CPU: 1 PID: 934 Comm: kworker/1:4 Tainted: G W OE 6.6.56-android15-8-o-g6f82312b30b9-debug #1 1400000003000000474e5500b3187743670464e8 [ 129.447362][ T934] Hardware name: Qualcomm Technologies, Inc. Parrot QRD, Alpha-M (DT) [ 129.447373][ T934] Workqueue: dm_bufio_cache shrink_work [ 129.447394][ T934] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 129.447406][ T934] pc : android_rvh_schedule_bug+0x0/0x8 [sched_walt_debug] [ 129.447435][ T934] lr : __traceiter_android_rvh_schedule_bug+0x44/0x6c [ 129.447451][ T934] sp : ffffffc0843dbc90 [ 129.447459][ T934] x29: ffffffc0843dbc90 x28: ffffffffffffffff x27: 0000000000000c8b [ 129.447479][ T934] x26: 0000000000000040 x25: ffffff804b3d6260 x24: ffffffd816232b68 [ 129.447497][ T934] x23: ffffff805171c5b4 x22: 0000000000000000 x21: ffffffd816231900 [ 129.447517][ T934] x20: ffffff80306ba898 x19: 0000000000000000 x18: ffffffc084159030 [ 129.447535][ T934] x17: 00000000d2b5dd1f x16: 00000000d2b5dd1f x15: ffffffd816720358 [ 129.447554][ T934] x14: 0000000000000004 x13: ffffff89ef978000 x12: 0000000000000003 [ 129.447572][ T934] x11: ffffffd817a823c4 x10: 0000000000000202 x9 : 7e779c5735de9400 [ 129.447591][ T934] x8 : ffffffd81560d004 x7 : 205b5d3938373434 x6 : ffffffd8167397c8 [ 129.447610][ T934] x5 : 0000000000000000 x4 : 0000000000000001 x3 : ffffffc0843db9e0 [ 129.447629][ T934] x2 : 0000000000002f15 x1 : 0000000000000000 x0 : 0000000000000000 [ 129.447647][ T934] Call trace: [ 129.447655][ T934] android_rvh_schedule_bug+0x0/0x8 [sched_walt_debug 1400000003000000474e550080cce8a8a78606b6] [ 129.447681][ T934] __might_resched+0x190/0x1a8 [ 129.447694][ T934] shrink_work+0x180/0x248 [ 129.447706][ T934] process_one_work+0x260/0x624 [ 129.447718][ T934] worker_thread+0x28c/0x454 [ 129.447729][ T934] kthread+0x118/0x158 [ 129.447742][ T934] ret_from_fork+0x10/0x20 [ 129.447761][ T934] Code: ???????? ???????? ???????? d2b5dd1f (d4210000) [ 129.447772][ T934] ---[ end trace 0000000000000000 ]--- dm_bufio_lock will call spin_lock_bh when try_verify_in_tasklet is enabled, and __scan will be called in atomic context. Уязвимость компонента dm-bufio.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: errata: Add missing sentinels to Spectre-BHB MIDR arrays Commit a5951389e58d ("arm64: errata: Add newer ARM cores to the spectre_bhb_loop_affected() lists") added some additional CPUs to the Spectre-BHB workaround, including some new arrays for designs that require new 'k' values for the workaround to be effective. Unfortunately, the new arrays omitted the sentinel entry and so is_midr_in_range_list() will walk off the end when it doesn't find a match. With UBSAN enabled, this leads to a crash during boot when is_midr_in_range_list() is inlined (which was more common prior to c8c2647e69be ("arm64: Make  _midr_in_range_list() an exported function")): | Internal error: aarch64 BRK: 00000000f2000001 [#1] PREEMPT SMP | pstate: 804000c5 (Nzcv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) | pc : spectre_bhb_loop_affected+0x28/0x30 | lr : is_spectre_bhb_affected+0x170/0x190 | [...] | Call trace: | spectre_bhb_loop_affected+0x28/0x30 | update_cpu_capabilities+0xc0/0x184 | init_cpu_features+0x188/0x1a4 | cpuinfo_store_boot_cpu+0x4c/0x60 | smp_prepare_boot_cpu+0x38/0x54 | start_kernel+0x8c/0x478 | __primary_switched+0xc8/0xd4 | Code: 6b09011f 54000061 52801080 d65f03c0 (d4200020) | ---[ end trace 0000000000000000 ]--- | Kernel panic - not syncing: aarch64 BRK: Fatal exception Add the missing sentinel entries. Уязвимость компонента proton-pack.c ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau: Fix WARN_ON in nouveau_fence_context_kill() Nouveau is mostly designed in a way that it's expected that fences only ever get signaled through nouveau_fence_signal(). However, in at least one other place, nouveau_fence_done(), can signal fences, too. If that happens (race) a signaled fence remains in the pending list for a while, until it gets removed by nouveau_fence_update(). Should nouveau_fence_context_kill() run in the meantime, this would be a bug because the function would attempt to set an error code on an already signaled fence. Have nouveau_fence_context_kill() check for a fence being signaled. Уязвимость компонента nouveau_fence.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: adjust subpage bit start based on sectorsize When running machines with 64k page size and a 16k nodesize we started seeing tree log corruption in production. This turned out to be because we were not writing out dirty blocks sometimes, so this in fact affects all metadata writes. When writing out a subpage EB we scan the subpage bitmap for a dirty range. If the range isn't dirty we do bit_start++; to move onto the next bit. The problem is the bitmap is based on the number of sectors that an EB has. So in this case, we have a 64k pagesize, 16k nodesize, but a 4k sectorsize. This means our bitmap is 4 bits for every node. With a 64k page size we end up with 4 nodes per page. To make this easier this is how everything looks [0 16k 32k 48k ] logical address [0 4 8 12 ] radix tree offset [ 64k page ] folio [ 16k eb ][ 16k eb ][ 16k eb ][ 16k eb ] extent buffers [ | | | | | | | | | | | | | | | | ] bitmap Now we use all of our addressing based on fs_info->sectorsize_bits, so as you can see the above our 16k eb->start turns into radix entry 4. When we find a dirty range for our eb, we correctly do bit_start += sectors_per_node, because if we start at bit 0, the next bit for the next eb is 4, to correspond to eb->start 16k. However if our range is clean, we will do bit_start++, which will now put us offset from our radix tree entries. In our case, assume that the first time we check the bitmap the block is not dirty, we increment bit_start so now it == 1, and then we loop around and check again. This time it is dirty, and we go to find that start using the following equation start = folio_start + bit_start * fs_info->sectorsize; so in the case above, eb->start 0 is now dirty, and we calculate start as 0 + 1 * fs_info->sectorsize = 4096 4096 >> 12 = 1 Now we're looking up the radix tree for 1, and we won't find an eb. What's worse is now we're using bit_start == 1, so we do bit_start += sectors_per_node, which is now 5. If that eb is dirty we will run into the same thing, we will look at an offset that is not populated in the radix tree, and now we're skipping the writeout of dirty extent buffers. The best fix for this is to not use sectorsize_bits to address nodes, but that's a larger change. Since this is a fs corruption problem fix it simply by always using sectors_per_node to increment the start bit. Уязвимость компонента btrfs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sch_htb: make htb_qlen_notify() idempotent htb_qlen_notify() always deactivates the HTB class and in fact could trigger a warning if it is already deactivated. Therefore, it is not idempotent and not friendly to its callers, like fq_codel_dequeue(). Let's make it idempotent to ease qdisc_tree_reduce_backlog() callers' life. Уязвимость компонента sch_htb.c ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: KVM: Mask PEBS_ENABLE loaded for guest with vCPU's value. When generating the MSR_IA32_PEBS_ENABLE value that will be loaded on VM-Entry to a KVM guest, mask the value with the vCPU's desired PEBS_ENABLE value. Consulting only the host kernel's host vs. guest masks results in running the guest with PEBS enabled even when the guest doesn't want to use PEBS. Because KVM uses perf events to proxy the guest virtual PMU, simply looking at exclude_host can't differentiate between events created by host userspace, and events created by KVM on behalf of the guest. Running the guest with PEBS unexpectedly enabled typically manifests as crashes due to a near-infinite stream of #PFs. E.g. if the guest hasn't written MSR_IA32_DS_AREA, the CPU will hit page faults on address '0' when trying to record PEBS events. The issue is most easily reproduced by running `perf kvm top` from before commit 7b100989b4f6 ("perf evlist: Remove __evlist__add_default") (after which, `perf kvm top` effectively stopped using PEBS). The userspace side of perf creates a guest-only PEBS event, which intel_guest_get_msrs() misconstrues a guest-*owned* PEBS event. Arguably, this is a userspace bug, as enabling PEBS on guest-only events simply cannot work, and userspace can kill VMs in many other ways (there is no danger to the host). However, even if this is considered to be bad userspace behavior, there's zero downside to perf/KVM restricting PEBS to guest-owned events. Note, commit 854250329c02 ("KVM: x86/pmu: Disable guest PEBS temporarily in two rare situations") fixed the case where host userspace is profiling KVM *and* userspace, but missed the case where userspace is profiling only KVM. Уязвимость компонента core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H', score=8.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: objtool, media: dib8000: Prevent divide-by-zero in dib8000_set_dds() If dib8000_set_dds()'s call to dib8000_read32() returns zero, the result is a divide-by-zero. Prevent that from happening. Fixes the following warning with an UBSAN kernel: drivers/media/dvb-frontends/dib8000.o: warning: objtool: dib8000_tune() falls through to next function dib8096p_cfg_DibRx() Уязвимость компонента dib8000.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Verify event formats that have "%*p.." The trace event verifier checks the formats of trace events to make sure that they do not point at memory that is not in the trace event itself or in data that will never be freed. If an event references data that was allocated when the event triggered and that same data is freed before the event is read, then the kernel can crash by reading freed memory. The verifier runs at boot up (or module load) and scans the print formats of the events and checks their arguments to make sure that dereferenced pointers are safe. If the format uses "%*p.." the verifier will ignore it, and that could be dangerous. Cover this case as well. Also add to the sample code a use case of "%*pbl". Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Add cond_resched() to ftrace_graph_set_hash() When the kernel contains a large number of functions that can be traced, the loop in ftrace_graph_set_hash() may take a lot of time to execute. This may trigger the softlockup watchdog. Add cond_resched() within the loop to allow the kernel to remain responsive even when processing a large number of functions. This matches the cond_resched() that is used in other locations of the code that iterates over all functions that can be traced. Уязвимость компонента ftrace.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: prevent out-of-bounds stream writes by validating *pos ksmbd_vfs_stream_write() did not validate whether the write offset (*pos) was within the bounds of the existing stream data length (v_len). If *pos was greater than or equal to v_len, this could lead to an out-of-bounds memory write. This patch adds a check to ensure *pos is less than v_len before proceeding. If the condition fails, -EINVAL is returned. Уязвимость компонента vfs.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Ограничьте доступ к SMB-портам (как правило, 445/tcp) сервера с ksmbd. Разрешите подключения только с определенных, доверенных IP-адресов или подсетей, используя iptables или nftables; - использовать hardened ядро ОС; - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: bpf: Add BHB mitigation to the epilogue for cBPF programs A malicious BPF program may manipulate the branch history to influence what the hardware speculates will happen next. On exit from a BPF program, emit the BHB mititgation sequence. This is only applied for 'classic' cBPF programs that are loaded by seccomp. Уязвимость компонентов arm64 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xenbus: Use kref to track req lifetime Marek reported seeing a NULL pointer fault in the xenbus_thread callstack: BUG: kernel NULL pointer dereference, address: 0000000000000000 RIP: e030:__wake_up_common+0x4c/0x180 Call Trace: <TASK> __wake_up_common_lock+0x82/0xd0 process_msg+0x18e/0x2f0 xenbus_thread+0x165/0x1c0 process_msg+0x18e is req->cb(req). req->cb is set to xs_wake_up(), a thin wrapper around wake_up(), or xenbus_dev_queue_reply(). It seems like it was xs_wake_up() in this case. It seems like req may have woken up the xs_wait_for_reply(), which kfree()ed the req. When xenbus_thread resumes, it faults on the zero-ed data. Linux Device Drivers 2nd edition states: "Normally, a wake_up call can cause an immediate reschedule to happen, meaning that other processes might run before wake_up returns." ... which would match the behaviour observed. Change to keeping two krefs on each request. One for the caller, and one for xenbus_thread. Each will kref_put() when finished, and the last will free it. This use of kref matches the description in Documentation/core-api/kref.rst Уязвимость компонентов xenbus ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Add job to pending list if the reset was skipped When a CL/CSD job times out, we check if the GPU has made any progress since the last timeout. If so, instead of resetting the hardware, we skip the reset and let the timer get rearmed. This gives long-running jobs a chance to complete. However, when `timedout_job()` is called, the job in question is removed from the pending list, which means it won't be automatically freed through `free_job()`. Consequently, when we skip the reset and keep the job running, the job won't be freed when it finally completes. This situation leads to a memory leak, as exposed in [1] and [2]. Similarly to commit 704d3d60fec4 ("drm/etnaviv: don't block scheduler when GPU is still active"), this patch ensures the job is put back on the pending list when extending the timeout. Уязвимость компонента v3d_sched.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sch_htb: make htb_deactivate() idempotent Alan reported a NULL pointer dereference in htb_next_rb_node() after we made htb_qlen_notify() idempotent. It turns out in the following case it introduced some regression: htb_dequeue_tree(): |-> fq_codel_dequeue() |-> qdisc_tree_reduce_backlog() |-> htb_qlen_notify() |-> htb_deactivate() |-> htb_next_rb_node() |-> htb_deactivate() For htb_next_rb_node(), after calling the 1st htb_deactivate(), the clprio[prio]->ptr could be already set to NULL, which means htb_next_rb_node() is vulnerable here. For htb_deactivate(), although we checked qlen before calling it, in case of qlen==0 after qdisc_tree_reduce_backlog(), we may call it again which triggers the warning inside. To fix the issues here, we need to: 1) Make htb_deactivate() idempotent, that is, simply return if we already call it before. 2) Make htb_next_rb_node() safe against ptr==NULL. Many thanks to Alan for testing and for the reproducer. Уязвимость компонента sch_htb.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: fix dereferencing invalid pmd migration entry When migrating a THP, concurrent access to the PMD migration entry during a deferred split scan can lead to an invalid address access, as illustrated below. To prevent this invalid access, it is necessary to check the PMD migration entry and return early. In this context, there is no need to use pmd_to_swp_entry and pfn_swap_entry_to_page to verify the equality of the target folio. Since the PMD migration entry is locked, it cannot be served as the target. Mailing list discussion and explanation from Hugh Dickins: "An anon_vma lookup points to a location which may contain the folio of interest, but might instead contain another folio: and weeding out those other folios is precisely what the "folio != pmd_folio((*pmd)" check (and the "risk of replacing the wrong folio" comment a few lines above it) is for." BUG: unable to handle page fault for address: ffffea60001db008 CPU: 0 UID: 0 PID: 2199114 Comm: tee Not tainted 6.14.0+ #4 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:split_huge_pmd_locked+0x3b5/0x2b60 Call Trace: <TASK> try_to_migrate_one+0x28c/0x3730 rmap_walk_anon+0x4f6/0x770 unmap_folio+0x196/0x1f0 split_huge_page_to_list_to_order+0x9f6/0x1560 deferred_split_scan+0xac5/0x12a0 shrinker_debugfs_scan_write+0x376/0x470 full_proxy_write+0x15c/0x220 vfs_write+0x2fc/0xcb0 ksys_write+0x146/0x250 do_syscall_64+0x6a/0x120 entry_SYSCALL_64_after_hwframe+0x76/0x7e The bug is found by syzkaller on an internal kernel, then confirmed on upstream. Уязвимость компонента huge_memory.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Scrub packet on bpf_redirect_peer When bpf_redirect_peer is used to redirect packets to a device in another network namespace, the skb isn't scrubbed. That can lead skb information from one namespace to be "misused" in another namespace. As one example, this is causing Cilium to drop traffic when using bpf_redirect_peer to redirect packets that just went through IPsec decryption to a container namespace. The following pwru trace shows (1) the packet path from the host's XFRM layer to the container's XFRM layer where it's dropped and (2) the number of active skb extensions at each function. NETNS MARK IFACE TUPLE FUNC 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 xfrm_rcv_cb .active_extensions = (__u8)2, 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 xfrm4_rcv_cb .active_extensions = (__u8)2, 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 gro_cells_receive .active_extensions = (__u8)2, [...] 4026533547 0 eth0 10.244.3.124:35473->10.244.2.158:53 skb_do_redirect .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 ip_rcv .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 ip_rcv_core .active_extensions = (__u8)2, [...] 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 udp_queue_rcv_one_skb .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 __xfrm_policy_check .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 __xfrm_decode_session .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 security_xfrm_decode_session .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 kfree_skb_reason(SKB_DROP_REASON_XFRM_POLICY) .active_extensions = (__u8)2, In this case, there are no XFRM policies in the container's network namespace so the drop is unexpected. When we decrypt the IPsec packet, the XFRM state used for decryption is set in the skb extensions. This information is preserved across the netns switch. When we reach the XFRM policy check in the container's netns, __xfrm_policy_check drops the packet with LINUX_MIB_XFRMINNOPOLS because a (container-side) XFRM policy can't be found that matches the (host-side) XFRM state used for decryption. This patch fixes this by scrubbing the packet when using bpf_redirect_peer, as is done on typical netns switches via veth devices except skb->mark and skb->tstamp are not zeroed. Уязвимость компонента filter.c ядра операционной системы Linux связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H', score=9.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvs: fix uninit-value for saddr in do_output_route4 syzbot reports for uninit-value for the saddr argument [1]. commit 4754957f04f5 ("ipvs: do not use random local source address for tunnels") already implies that the input value of saddr should be ignored but the code is still reading it which can prevent to connect the route. Fix it by changing the argument to ret_saddr. [1] BUG: KMSAN: uninit-value in do_output_route4+0x42c/0x4d0 net/netfilter/ipvs/ip_vs_xmit.c:147 do_output_route4+0x42c/0x4d0 net/netfilter/ipvs/ip_vs_xmit.c:147 __ip_vs_get_out_rt+0x403/0x21d0 net/netfilter/ipvs/ip_vs_xmit.c:330 ip_vs_tunnel_xmit+0x205/0x2380 net/netfilter/ipvs/ip_vs_xmit.c:1136 ip_vs_in_hook+0x1aa5/0x35b0 net/netfilter/ipvs/ip_vs_core.c:2063 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf7/0x400 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] __ip_local_out+0x758/0x7e0 net/ipv4/ip_output.c:118 ip_local_out net/ipv4/ip_output.c:127 [inline] ip_send_skb+0x6a/0x3c0 net/ipv4/ip_output.c:1501 udp_send_skb+0xfda/0x1b70 net/ipv4/udp.c:1195 udp_sendmsg+0x2fe3/0x33c0 net/ipv4/udp.c:1483 inet_sendmsg+0x1fc/0x280 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x267/0x380 net/socket.c:727 ____sys_sendmsg+0x91b/0xda0 net/socket.c:2566 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2620 __sys_sendmmsg+0x41d/0x880 net/socket.c:2702 __compat_sys_sendmmsg net/compat.c:360 [inline] __do_compat_sys_sendmmsg net/compat.c:367 [inline] __se_compat_sys_sendmmsg net/compat.c:364 [inline] __ia32_compat_sys_sendmmsg+0xc8/0x140 net/compat.c:364 ia32_sys_call+0x3ffa/0x41f0 arch/x86/include/generated/asm/syscalls_32.h:346 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0xb0/0x110 arch/x86/entry/syscall_32.c:306 do_fast_syscall_32+0x38/0x80 arch/x86/entry/syscall_32.c:331 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/syscall_32.c:369 entry_SYSENTER_compat_after_hwframe+0x84/0x8e Uninit was created at: slab_post_alloc_hook mm/slub.c:4167 [inline] slab_alloc_node mm/slub.c:4210 [inline] __kmalloc_cache_noprof+0x8fa/0xe00 mm/slub.c:4367 kmalloc_noprof include/linux/slab.h:905 [inline] ip_vs_dest_dst_alloc net/netfilter/ipvs/ip_vs_xmit.c:61 [inline] __ip_vs_get_out_rt+0x35d/0x21d0 net/netfilter/ipvs/ip_vs_xmit.c:323 ip_vs_tunnel_xmit+0x205/0x2380 net/netfilter/ipvs/ip_vs_xmit.c:1136 ip_vs_in_hook+0x1aa5/0x35b0 net/netfilter/ipvs/ip_vs_core.c:2063 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf7/0x400 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] __ip_local_out+0x758/0x7e0 net/ipv4/ip_output.c:118 ip_local_out net/ipv4/ip_output.c:127 [inline] ip_send_skb+0x6a/0x3c0 net/ipv4/ip_output.c:1501 udp_send_skb+0xfda/0x1b70 net/ipv4/udp.c:1195 udp_sendmsg+0x2fe3/0x33c0 net/ipv4/udp.c:1483 inet_sendmsg+0x1fc/0x280 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x267/0x380 net/socket.c:727 ____sys_sendmsg+0x91b/0xda0 net/socket.c:2566 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2620 __sys_sendmmsg+0x41d/0x880 net/socket.c:2702 __compat_sys_sendmmsg net/compat.c:360 [inline] __do_compat_sys_sendmmsg net/compat.c:367 [inline] __se_compat_sys_sendmmsg net/compat.c:364 [inline] __ia32_compat_sys_sendmmsg+0xc8/0x140 net/compat.c:364 ia32_sys_call+0x3ffa/0x41f0 arch/x86/include/generated/asm/syscalls_32.h:346 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0xb0/0x110 arch/x86/entry/syscall_32.c:306 do_fast_syscall_32+0x38/0x80 arch/x86/entry/syscall_32.c:331 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/syscall_32.c:369 entry_SYSENTER_compat_after_hwframe+0x84/0x8e CPU: 0 UID: 0 PID: 22408 Comm: syz.4.5165 Not tainted 6.15.0-rc3-syzkaller-00019-gbc3372351d0c #0 PREEMPT(undef) Hardware name: Google Google Compute Engi ---truncated--- Уязвимость компонента ip_vs_xmit.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix memory leak in parse_lease_state() The previous patch that added bounds check for create lease context introduced a memory leak. When the bounds check fails, the function returns NULL without freeing the previously allocated lease_ctx_info structure. This patch fixes the issue by adding kfree(lreq) before returning NULL in both boundary check cases. Уязвимость компонента oplock.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: bpf: Only mitigate cBPF programs loaded by unprivileged users Support for eBPF programs loaded by unprivileged users is typically disabled. This means only cBPF programs need to be mitigated for BHB. In addition, only mitigate cBPF programs that were loaded by an unprivileged user. Privileged users can also load the same program via eBPF, making the mitigation pointless. Уязвимость компонента bpf_jit_comp.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm: Eliminate window where TLB flushes may be inadvertently skipped tl;dr: There is a window in the mm switching code where the new CR3 is set and the CPU should be getting TLB flushes for the new mm. But should_flush_tlb() has a bug and suppresses the flush. Fix it by widening the window where should_flush_tlb() sends an IPI. Long Version: === History === There were a few things leading up to this. First, updating mm_cpumask() was observed to be too expensive, so it was made lazier. But being lazy caused too many unnecessary IPIs to CPUs due to the now-lazy mm_cpumask(). So code was added to cull mm_cpumask() periodically[2]. But that culling was a bit too aggressive and skipped sending TLB flushes to CPUs that need them. So here we are again. === Problem === The too-aggressive code in should_flush_tlb() strikes in this window: // Turn on IPIs for this CPU/mm combination, but only // if should_flush_tlb() agrees: cpumask_set_cpu(cpu, mm_cpumask(next)); next_tlb_gen = atomic64_read(&next->context.tlb_gen); choose_new_asid(next, next_tlb_gen, &new_asid, &need_flush); load_new_mm_cr3(need_flush); // ^ After 'need_flush' is set to false, IPIs *MUST* // be sent to this CPU and not be ignored. this_cpu_write(cpu_tlbstate.loaded_mm, next); // ^ Not until this point does should_flush_tlb() // become true! should_flush_tlb() will suppress TLB flushes between load_new_mm_cr3() and writing to 'loaded_mm', which is a window where they should not be suppressed. Whoops. === Solution === Thankfully, the fuzzy "just about to write CR3" window is already marked with loaded_mm==LOADED_MM_SWITCHING. Simply checking for that state in should_flush_tlb() is sufficient to ensure that the CPU is targeted with an IPI. This will cause more TLB flush IPIs. But the window is relatively small and I do not expect this to cause any kind of measurable performance impact. Update the comment where LOADED_MM_SWITCHING is written since it grew yet another user. Peter Z also raised a concern that should_flush_tlb() might not observe 'loaded_mm' and 'is_lazy' in the same order that switch_mm_irqs_off() writes them. Add a barrier to ensure that they are observed in the order they are written. Уязвимость компонента arch/x86/mm/tlb.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: displayport: Fix deadlock This patch introduces the ucsi_con_mutex_lock / ucsi_con_mutex_unlock functions to the UCSI driver. ucsi_con_mutex_lock ensures the connector mutex is only locked if a connection is established and the partner pointer is valid. This resolves a deadlock scenario where ucsi_displayport_remove_partner holds con->mutex waiting for dp_altmode_work to complete while dp_altmode_work attempts to acquire it. Уязвимость компонентов drivers/usb/typec/ucsi/ ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: imu: st_lsm6dsx: fix possible lockup in st_lsm6dsx_read_tagged_fifo Prevent st_lsm6dsx_read_tagged_fifo from falling in an infinite loop in case pattern_len is equal to zero and the device FIFO is not empty. Уязвимость функции st_lsm6dsx_read_tagged_fifo() компонента st_lsm6dsx_buffer.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: imu: st_lsm6dsx: fix possible lockup in st_lsm6dsx_read_fifo Prevent st_lsm6dsx_read_fifo from falling in an infinite loop in case pattern_len is equal to zero and the device FIFO is not empty. Уязвимость функции st_lsm6dsx_read_fifo() компонента st_lsm6dsx_buffer.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: mtk-pmic-keys - fix possible null pointer dereference In mtk_pmic_keys_probe, the regs parameter is only set if the button is parsed in the device tree. However, on hardware where the button is left floating, that node will most likely be removed not to enable that input. In that case the code will try to dereference a null pointer. Let's use the regs struct instead as it is defined for all supported platforms. Note that it is ok setting the key reg even if that latter is disabled as the interrupt won't be enabled anyway. Уязвимость функции mtk_pmic_keys_lp_reset_setup() компонента mtk-pmic-keys.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: Fix sc7280 lpass potential buffer overflow Case values introduced in commit 5f78e1fb7a3e ("ASoC: qcom: Add driver support for audioreach solution") cause out of bounds access in arrays of sc7280 driver data (e.g. in case of RX_CODEC_DMA_RX_0 in sc7280_snd_hw_params()). Redefine LPASS_MAX_PORTS to consider the maximum possible port id for q6dsp as sc7280 driver utilizes some of those values. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента qcom/lpass.h ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: wl1251: fix memory leak in wl1251_tx_work The skb dequeued from tx_queue is lost when wl1251_ps_elp_wakeup fails with a -ETIMEDOUT error. Fix that by queueing the skb back to tx_queue. Уязвимость функции wl1251_tx_work компонента wl1251/tx.c модуля wifi ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: qibfs: fix _another_ leak failure to allocate inode => leaked dentry... this one had been there since the initial merge; to be fair, if we are that far OOM, the odds of failing at that particular allocation are low... Уязвимость компонента qibfs ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: wdm: close race between wdm_open and wdm_wwan_port_stop Clearing WDM_WWAN_IN_USE must be the last action or we can open a chardev whose URBs are still poisoned Уязвимость модуля USB ядра операционной системы Linux связана с преждевременным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: phy: leds: fix memory leak A network restart test on a router led to an out-of-memory condition, which was traced to a memory leak in the PHY LED trigger code. The root cause is misuse of the devm API. The registration function (phy_led_triggers_register) is called from phy_attach_direct, not phy_probe, and the unregister function (phy_led_triggers_unregister) is called from phy_detach, not phy_remove. This means the register and unregister functions can be called multiple times for the same PHY device, but devm-allocated memory is not freed until the driver is unbound. This also prevents kmemleak from detecting the leak, as the devm API internally stores the allocated pointer. Fix this by replacing devm_kzalloc/devm_kcalloc with standard kzalloc/kcalloc, and add the corresponding kfree calls in the unregister path. Уязвимость компонента phy_led_triggers.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: brcm80211: fmac: Add error handling for brcmf_usb_dl_writeimage() The function brcmf_usb_dl_writeimage() calls the function brcmf_usb_dl_cmd() but dose not check its return value. The 'state.state' and the 'state.bytes' are uninitialized if the function brcmf_usb_dl_cmd() fails. It is dangerous to use uninitialized variables in the conditions. Add error handling for brcmf_usb_dl_cmd() to jump to error handling path if the brcmf_usb_dl_cmd() fails and the 'state.state' and the 'state.bytes' are uninitialized. Improve the error message to report more detailed error information. Уязвимость ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: parisc: Fix double SIGFPE crash Camm noticed that on parisc a SIGFPE exception will crash an application with a second SIGFPE in the signal handler. Dave analyzed it, and it happens because glibc uses a double-word floating-point store to atomically update function descriptors. As a result of lazy binding, we hit a floating-point store in fpe_func almost immediately. When the T bit is set, an assist exception trap occurs when when the co-processor encounters *any* floating-point instruction except for a double store of register %fr0. The latter cancels all pending traps. Let's fix this by clearing the Trap (T) bit in the FP status register before returning to the signal handler in userspace. The issue can be reproduced with this test program: root@parisc:~# cat fpe.c static void fpe_func(int sig, siginfo_t *i, void *v) { sigset_t set; sigemptyset(&set); sigaddset(&set, SIGFPE); sigprocmask(SIG_UNBLOCK, &set, NULL); printf("GOT signal %d with si_code %ld\n", sig, i->si_code); } int main() { struct sigaction action = { .sa_sigaction = fpe_func, .sa_flags = SA_RESTART|SA_SIGINFO }; sigaction(SIGFPE, &action, 0); feenableexcept(FE_OVERFLOW); return printf("%lf\n",1.7976931348623158E308*1.7976931348623158E308); } root@parisc:~# gcc fpe.c -lm root@parisc:~# ./a.out Floating point exception root@parisc:~# strace -f ./a.out execve("./a.out", ["./a.out"], 0xf9ac7034 /* 20 vars */) = 0 getrlimit(RLIMIT_STACK, {rlim_cur=8192*1024, rlim_max=RLIM_INFINITY}) = 0 ... rt_sigaction(SIGFPE, {sa_handler=0x1110a, sa_mask=[], sa_flags=SA_RESTART|SA_SIGINFO}, NULL, 8) = 0 --- SIGFPE {si_signo=SIGFPE, si_code=FPE_FLTOVF, si_addr=0x1078f} --- --- SIGFPE {si_signo=SIGFPE, si_code=FPE_FLTOVF, si_addr=0xf8f21237} --- +++ killed by SIGFPE +++ Floating point exception Уязвимость компонента parisc ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: Flush gso_skb list too during ->change() Previously, when reducing a qdisc's limit via the ->change() operation, only the main skb queue was trimmed, potentially leaving packets in the gso_skb list. This could result in NULL pointer dereference when we only check sch->limit against sch->q.qlen. This patch introduces a new helper, qdisc_dequeue_internal(), which ensures both the gso_skb list and the main queue are properly flushed when trimming excess packets. All relevant qdiscs (codel, fq, fq_codel, fq_pie, hhf, pie) are updated to use this helper in their ->change() routines. Уязвимость компонентов net/sched/ ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: displayport: Fix NULL pointer access This patch ensures that the UCSI driver waits for all pending tasks in the ucsi_displayport_work workqueue to finish executing before proceeding with the partner removal. Уязвимость компонента ucsi/displayport.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: module: ensure that kobject_put() is safe for module type kobjects In 'lookup_or_create_module_kobject()', an internal kobject is created using 'module_ktype'. So call to 'kobject_put()' on error handling path causes an attempt to use an uninitialized completion pointer in 'module_kobject_release()'. In this scenario, we just want to release kobject without an extra synchronization required for a regular module unloading process, so adding an extra check whether 'complete()' is actually required makes 'kobject_put()' safe. Уязвимость ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: fix region locking in hash types Region locking introduced in v5.6-rc4 contained three macros to handle the region locks: ahash_bucket_start(), ahash_bucket_end() which gave back the start and end hash bucket values belonging to a given region lock and ahash_region() which should give back the region lock belonging to a given hash bucket. The latter was incorrect which can lead to a race condition between the garbage collector and adding new elements when a hash type of set is defined with timeouts. Уязвимость компонента netfilter ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-37997 необходимо запретить загрузку модуля netfilter в ядро Linux (Обратите внимание: отключение загрузки модуля _netfilter_ в ядре Linux приведёт к невозможности фильтрации и обработки сетевых пакетов, например, с помощью {_}iptables{_}). Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль br_netfilter в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: openvswitch: Fix unsafe attribute parsing in output_userspace() This patch replaces the manual Netlink attribute iteration in output_userspace() with nla_for_each_nested(), which ensures that only well-formed attributes are processed. Уязвимость функции output_userspace() компонента net/openvswitch/actions.c ядра операционной системы Linux связана с ошибками обработки типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sch_hfsc: Fix qlen accounting bug when using peek in hfsc_enqueue() When enqueuing the first packet to an HFSC class, hfsc_enqueue() calls the child qdisc's peek() operation before incrementing sch->q.qlen and sch->qstats.backlog. If the child qdisc uses qdisc_peek_dequeued(), this may trigger an immediate dequeue and potential packet drop. In such cases, qdisc_tree_reduce_backlog() is called, but the HFSC qdisc's qlen and backlog have not yet been updated, leading to inconsistent queue accounting. This can leave an empty HFSC class in the active list, causing further consequences like use-after-free. This patch fixes the bug by moving the increment of sch->q.qlen and sch->qstats.backlog before the call to the child qdisc's peek() operation. This ensures that queue length and backlog are always accurate when packet drops or dequeues are triggered during the peek. Уязвимость функции hfsc_enqueue() компонента net/sched/sch_hfsc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Address reentrant enqueue adding class to eltree twice Savino says: "We are writing to report that this recent patch (141d34391abbb315d68556b7c67ad97885407547) [1] can be bypassed, and a UAF can still occur when HFSC is utilized with NETEM. The patch only checks the cl->cl_nactive field to determine whether it is the first insertion or not [2], but this field is only incremented by init_vf [3]. By using HFSC_RSC (which uses init_ed) [4], it is possible to bypass the check and insert the class twice in the eltree. Under normal conditions, this would lead to an infinite loop in hfsc_dequeue for the reasons we already explained in this report [5]. However, if TBF is added as root qdisc and it is configured with a very low rate, it can be utilized to prevent packets from being dequeued. This behavior can be exploited to perform subsequent insertions in the HFSC eltree and cause a UAF." To fix both the UAF and the infinite loop, with netem as an hfsc child, check explicitly in hfsc_enqueue whether the class is already in the eltree whenever the HFSC_RSC flag is set. [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u Уязвимость компонента net/sched/sch_hfsc.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-38001 необходимо запретить загрузку модулей `sch_hfsc.ko` и `sch_netem.ko` в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружены ли модули sch_hfsc и sch_netem в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc lsmod | grep sch_netem ``` или ``` kmod list | grep sch_hfsc kmod list | grep sch_netem ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc sudo rmmod sch_netem ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_hfsc /bin/true install sch_netem /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: bcm: add missing rcu read protection for procfs content When the procfs content is generated for a bcm_op which is in the process to be removed the procfs output might show unreliable data (UAF). As the removal of bcm_op's is already implemented with rcu handling this patch adds the missing rcu_read_lock() and makes sure the list entries are properly removed under rcu protection. Уязвимость компонента net/can/bcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: bcm: add locking for bcm_op runtime updates The CAN broadcast manager (CAN BCM) can send a sequence of CAN frames via hrtimer. The content and also the length of the sequence can be changed resp reduced at runtime where the 'currframe' counter is then set to zero. Although this appeared to be a safe operation the updates of 'currframe' can be triggered from user space and hrtimer context in bcm_can_tx(). Anderson Nascimento created a proof of concept that triggered a KASAN slab-out-of-bounds read access which can be prevented with a spin_lock_bh. At the rework of bcm_can_tx() the 'count' variable has been moved into the protected section as this variable can be modified from both contexts too. Уязвимость компонента net/can/bcm.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: k3-udma: Add missing locking Recent kernels complain about a missing lock in k3-udma.c when the lock validator is enabled: [ 4.128073] WARNING: CPU: 0 PID: 746 at drivers/dma/ti/../virt-dma.h:169 udma_start.isra.0+0x34/0x238 [ 4.137352] CPU: 0 UID: 0 PID: 746 Comm: kworker/0:3 Not tainted 6.12.9-arm64 #28 [ 4.144867] Hardware name: pp-v12 (DT) [ 4.148648] Workqueue: events udma_check_tx_completion [ 4.153841] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 4.160834] pc : udma_start.isra.0+0x34/0x238 [ 4.165227] lr : udma_start.isra.0+0x30/0x238 [ 4.169618] sp : ffffffc083cabcf0 [ 4.172963] x29: ffffffc083cabcf0 x28: 0000000000000000 x27: ffffff800001b005 [ 4.180167] x26: ffffffc0812f0000 x25: 0000000000000000 x24: 0000000000000000 [ 4.187370] x23: 0000000000000001 x22: 00000000e21eabe9 x21: ffffff8000fa0670 [ 4.194571] x20: ffffff8001b6bf00 x19: ffffff8000fa0430 x18: ffffffc083b95030 [ 4.201773] x17: 0000000000000000 x16: 00000000f0000000 x15: 0000000000000048 [ 4.208976] x14: 0000000000000048 x13: 0000000000000000 x12: 0000000000000001 [ 4.216179] x11: ffffffc08151a240 x10: 0000000000003ea1 x9 : ffffffc08046ab68 [ 4.223381] x8 : ffffffc083cabac0 x7 : ffffffc081df3718 x6 : 0000000000029fc8 [ 4.230583] x5 : ffffffc0817ee6d8 x4 : 0000000000000bc0 x3 : 0000000000000000 [ 4.237784] x2 : 0000000000000000 x1 : 00000000001fffff x0 : 0000000000000000 [ 4.244986] Call trace: [ 4.247463] udma_start.isra.0+0x34/0x238 [ 4.251509] udma_check_tx_completion+0xd0/0xdc [ 4.256076] process_one_work+0x244/0x3fc [ 4.260129] process_scheduled_works+0x6c/0x74 [ 4.264610] worker_thread+0x150/0x1dc [ 4.268398] kthread+0xd8/0xe8 [ 4.271492] ret_from_fork+0x10/0x20 [ 4.275107] irq event stamp: 220 [ 4.278363] hardirqs last enabled at (219): [<ffffffc080a27c7c>] _raw_spin_unlock_irq+0x38/0x50 [ 4.287183] hardirqs last disabled at (220): [<ffffffc080a1c154>] el1_dbg+0x24/0x50 [ 4.294879] softirqs last enabled at (182): [<ffffffc080037e68>] handle_softirqs+0x1c0/0x3cc [ 4.303437] softirqs last disabled at (177): [<ffffffc080010170>] __do_softirq+0x1c/0x28 [ 4.311559] ---[ end trace 0000000000000000 ]--- This commit adds the missing locking. Уязвимость компонента drivers/dma/ti/k3-udma.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: uclogic: Add NULL check in uclogic_input_configured() devm_kasprintf() returns NULL when memory allocation fails. Currently, uclogic_input_configured() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функции uclogic_input_configured() компонента HID ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: disable napi on driver removal A warning on driver removal started occurring after commit 9dd05df8403b ("net: warn if NAPI instance wasn't shut down"). Disable tx napi before deleting it in mt76_dma_cleanup(). WARNING: CPU: 4 PID: 18828 at net/core/dev.c:7288 __netif_napi_del_locked+0xf0/0x100 CPU: 4 UID: 0 PID: 18828 Comm: modprobe Not tainted 6.15.0-rc4 #4 PREEMPT(lazy) Hardware name: ASUS System Product Name/PRIME X670E-PRO WIFI, BIOS 3035 09/05/2024 RIP: 0010:__netif_napi_del_locked+0xf0/0x100 Call Trace: <TASK> mt76_dma_cleanup+0x54/0x2f0 [mt76] mt7921_pci_remove+0xd5/0x190 [mt7921e] pci_device_remove+0x47/0xc0 device_release_driver_internal+0x19e/0x200 driver_detach+0x48/0x90 bus_remove_driver+0x6d/0xf0 pci_unregister_driver+0x2e/0xb0 __do_sys_delete_module.isra.0+0x197/0x2e0 do_syscall_64+0x7b/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e Tested with mt7921e but the same pattern can be actually applied to other mt76 drivers calling mt76_dma_cleanup() during removal. Tx napi is enabled in their *_dma_init() functions and only toggled off and on again inside their suspend/resume/reset paths. So it should be okay to disable tx napi in such a generic way. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента net/core/dev.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: fix memory leak in error handling path of idxd_alloc Memory allocated for idxd is not freed if an error occurs during idxd_alloc(). To fix it, free the allocated memory in the reverse order of allocation before exiting the function in case of an error. Уязвимость функции idxd_alloc() ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/tls: fix kernel panic when alloc_page failed We cannot set frag_list to NULL pointer when alloc_page failed. It will be used in tls_strp_check_queue_ok when the next time tls_strp_read_sock is called. This is because we don't reset full_len in tls_strp_flush_anchor_copy() so the recv path will try to continue handling the partial record on the next call but we dettached the rcvq from the frag list. Alternative fix would be to reset full_len. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000028 Call trace: tls_strp_check_rcv+0x128/0x27c tls_strp_data_ready+0x34/0x44 tls_data_ready+0x3c/0x1f0 tcp_data_ready+0x9c/0xe4 tcp_data_queue+0xf6c/0x12d0 tcp_rcv_established+0x52c/0x798 Уязвимость функции tls_strp_flush_anchor_copy ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Disable MACsec offload for uplink representor profile MACsec offload is not supported in switchdev mode for uplink representors. When switching to the uplink representor profile, the MACsec offload feature must be cleared from the netdevice's features. If left enabled, attempts to add offloads result in a null pointer dereference, as the uplink representor does not support MACsec offload even though the feature bit remains set. Clear NETIF_F_HW_MACSEC in mlx5e_fix_uplink_rep_features(). Kernel log: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000f: 0000 [#1] SMP KASAN KASAN: null-ptr-deref in range [0x0000000000000078-0x000000000000007f] CPU: 29 UID: 0 PID: 4714 Comm: ip Not tainted 6.14.0-rc4_for_upstream_debug_2025_03_02_17_35 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:__mutex_lock+0x128/0x1dd0 Code: d0 7c 08 84 d2 0f 85 ad 15 00 00 8b 35 91 5c fe 03 85 f6 75 29 49 8d 7e 60 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 a6 15 00 00 4d 3b 76 60 0f 85 fd 0b 00 00 65 ff RSP: 0018:ffff888147a4f160 EFLAGS: 00010206 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: 0000000000000001 RDX: 000000000000000f RSI: 0000000000000000 RDI: 0000000000000078 RBP: ffff888147a4f2e0 R08: ffffffffa05d2c19 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000000 R13: dffffc0000000000 R14: 0000000000000018 R15: ffff888152de0000 FS: 00007f855e27d800(0000) GS:ffff88881ee80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000004e5768 CR3: 000000013ae7c005 CR4: 0000000000372eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe07f0 DR7: 0000000000000400 Call Trace: <TASK> ? die_addr+0x3d/0xa0 ? exc_general_protection+0x144/0x220 ? asm_exc_general_protection+0x22/0x30 ? mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] ? __mutex_lock+0x128/0x1dd0 ? lockdep_set_lock_cmp_fn+0x190/0x190 ? mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] ? mutex_lock_io_nested+0x1ae0/0x1ae0 ? lock_acquire+0x1c2/0x530 ? macsec_upd_offload+0x145/0x380 ? lockdep_hardirqs_on_prepare+0x400/0x400 ? kasan_save_stack+0x30/0x40 ? kasan_save_stack+0x20/0x40 ? kasan_save_track+0x10/0x30 ? __kasan_kmalloc+0x77/0x90 ? __kmalloc_noprof+0x249/0x6b0 ? genl_family_rcv_msg_attrs_parse.constprop.0+0xb5/0x240 ? mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] ? mlx5e_macsec_add_rxsa+0x11a0/0x11a0 [mlx5_core] macsec_update_offload+0x26c/0x820 ? macsec_set_mac_address+0x4b0/0x4b0 ? lockdep_hardirqs_on_prepare+0x284/0x400 ? _raw_spin_unlock_irqrestore+0x47/0x50 macsec_upd_offload+0x2c8/0x380 ? macsec_update_offload+0x820/0x820 ? __nla_parse+0x22/0x30 ? genl_family_rcv_msg_attrs_parse.constprop.0+0x15e/0x240 genl_family_rcv_msg_doit+0x1cc/0x2a0 ? genl_family_rcv_msg_attrs_parse.constprop.0+0x240/0x240 ? cap_capable+0xd4/0x330 genl_rcv_msg+0x3ea/0x670 ? genl_family_rcv_msg_dumpit+0x2a0/0x2a0 ? lockdep_set_lock_cmp_fn+0x190/0x190 ? macsec_update_offload+0x820/0x820 netlink_rcv_skb+0x12b/0x390 ? genl_family_rcv_msg_dumpit+0x2a0/0x2a0 ? netlink_ack+0xd80/0xd80 ? rwsem_down_read_slowpath+0xf90/0xf90 ? netlink_deliver_tap+0xcd/0xac0 ? netlink_deliver_tap+0x155/0xac0 ? _copy_from_iter+0x1bb/0x12c0 genl_rcv+0x24/0x40 netlink_unicast+0x440/0x700 ? netlink_attachskb+0x760/0x760 ? lock_acquire+0x1c2/0x530 ? __might_fault+0xbb/0x170 netlink_sendmsg+0x749/0xc10 ? netlink_unicast+0x700/0x700 ? __might_fault+0xbb/0x170 ? netlink_unicast+0x700/0x700 __sock_sendmsg+0xc5/0x190 ____sys_sendmsg+0x53f/0x760 ? import_iovec+0x7/0x10 ? kernel_sendmsg+0x30/0x30 ? __copy_msghdr+0x3c0/0x3c0 ? filter_irq_stacks+0x90/0x90 ? stack_depot_save_flags+0x28/0xa30 ___sys_sen ---truncated--- Уязвимость функции mlx5e_fix_uplink_rep_features ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs: handle failure of nfs_get_lock_context in unlock path When memory is insufficient, the allocation of nfs_lock_context in nfs_get_lock_context() fails and returns -ENOMEM. If we mistakenly treat an nfs4_unlockdata structure (whose l_ctx member has been set to -ENOMEM) as valid and proceed to execute rpc_run_task(), this will trigger a NULL pointer dereference in nfs4_locku_prepare. For example: BUG: kernel NULL pointer dereference, address: 000000000000000c PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP PTI CPU: 15 UID: 0 PID: 12 Comm: kworker/u64:0 Not tainted 6.15.0-rc2-dirty #60 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 Workqueue: rpciod rpc_async_schedule RIP: 0010:nfs4_locku_prepare+0x35/0xc2 Code: 89 f2 48 89 fd 48 c7 c7 68 69 ef b5 53 48 8b 8e 90 00 00 00 48 89 f3 RSP: 0018:ffffbbafc006bdb8 EFLAGS: 00010246 RAX: 000000000000004b RBX: ffff9b964fc1fa00 RCX: 0000000000000000 RDX: 0000000000000000 RSI: fffffffffffffff4 RDI: ffff9ba53fddbf40 RBP: ffff9ba539934000 R08: 0000000000000000 R09: ffffbbafc006bc38 R10: ffffffffb6b689c8 R11: 0000000000000003 R12: ffff9ba539934030 R13: 0000000000000001 R14: 0000000004248060 R15: ffffffffb56d1c30 FS: 0000000000000000(0000) GS:ffff9ba5881f0000(0000) knlGS:00000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000000000c CR3: 000000093f244000 CR4: 00000000000006f0 Call Trace: <TASK> __rpc_execute+0xbc/0x480 rpc_async_schedule+0x2f/0x40 process_one_work+0x232/0x5d0 worker_thread+0x1da/0x3d0 ? __pfx_worker_thread+0x10/0x10 kthread+0x10d/0x240 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x34/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Modules linked in: CR2: 000000000000000c ---[ end trace 0000000000000000 ]--- Free the allocated nfs4_unlockdata when nfs_get_lock_context() fails and return NULL to terminate subsequent rpc_run_task, preventing NULL pointer dereference. Уязвимость функции nfs_get_lock_context ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix slab-use-after-free Read in rxe_queue_cleanup bug Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x7d/0xa0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcf/0x610 mm/kasan/report.c:489 kasan_report+0xb5/0xe0 mm/kasan/report.c:602 rxe_queue_cleanup+0xd0/0xe0 drivers/infiniband/sw/rxe/rxe_queue.c:195 rxe_cq_cleanup+0x3f/0x50 drivers/infiniband/sw/rxe/rxe_cq.c:132 __rxe_cleanup+0x168/0x300 drivers/infiniband/sw/rxe/rxe_pool.c:232 rxe_create_cq+0x22e/0x3a0 drivers/infiniband/sw/rxe/rxe_verbs.c:1109 create_cq+0x658/0xb90 drivers/infiniband/core/uverbs_cmd.c:1052 ib_uverbs_create_cq+0xc7/0x120 drivers/infiniband/core/uverbs_cmd.c:1095 ib_uverbs_write+0x969/0xc90 drivers/infiniband/core/uverbs_main.c:679 vfs_write fs/read_write.c:677 [inline] vfs_write+0x26a/0xcc0 fs/read_write.c:659 ksys_write+0x1b8/0x200 fs/read_write.c:731 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xaa/0x1b0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f In the function rxe_create_cq, when rxe_cq_from_init fails, the function rxe_cleanup will be called to handle the allocated resources. In fact, some memory resources have already been freed in the function rxe_cq_from_init. Thus, this problem will occur. The solution is to let rxe_cleanup do all the work. Уязвимость функции rxe_create_cq ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regulator: max20086: fix invalid memory access max20086_parse_regulators_dt() calls of_regulator_match() using an array of struct of_regulator_match allocated on the stack for the matches argument. of_regulator_match() calls devm_of_regulator_put_matches(), which calls devres_alloc() to allocate a struct devm_of_regulator_matches which will be de-allocated using devm_of_regulator_put_matches(). struct devm_of_regulator_matches is populated with the stack allocated matches array. If the device fails to probe, devm_of_regulator_put_matches() will be called and will try to call of_node_put() on that stack pointer, generating the following dmesg entries: max20086 6-0028: Failed to read DEVICE_ID reg: -121 kobject: '\xc0$\xa5\x03' (000000002cebcb7a): is not initialized, yet kobject_put() is being called. Followed by a stack trace matching the call flow described above. Switch to allocating the matches array using devm_kcalloc() to avoid accessing the stack pointer long after it's out of scope. This also has the advantage of allowing multiple max20086 to probe without overriding the data stored inside the global of_regulator_match. Уязвимость функции max20086_parse_regulators_dt ядра операционной системы Linux связана с неправильной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: padata: do not leak refcount in reorder_work A recent patch that addressed a UAF introduced a reference count leak: the parallel_data refcount is incremented unconditionally, regardless of the return value of queue_work(). If the work item is already queued, the incremented refcount is never decremented. Fix this by checking the return value of queue_work() and decrementing the refcount when necessary. Resolves: Unreferenced object 0xffff9d9f421e3d80 (size 192): comm "cryptomgr_probe", pid 157, jiffies 4294694003 hex dump (first 32 bytes): 80 8b cf 41 9f 9d ff ff b8 97 e0 89 ff ff ff ff ...A............ d0 97 e0 89 ff ff ff ff 19 00 00 00 1f 88 23 00 ..............#. backtrace (crc 838fb36): __kmalloc_cache_noprof+0x284/0x320 padata_alloc_pd+0x20/0x1e0 padata_alloc_shell+0x3b/0xa0 0xffffffffc040a54d cryptomgr_probe+0x43/0xc0 kthread+0xf6/0x1f0 ret_from_fork+0x2f/0x50 ret_from_fork_asm+0x1a/0x30 Уязвимость функции queue_work() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: correct the order of prelim_ref arguments in btrfs__prelim_ref btrfs_prelim_ref() calls the old and new reference variables in the incorrect order. This causes a NULL pointer dereference because oldref is passed as NULL to trace_btrfs_prelim_ref_insert(). Note, trace_btrfs_prelim_ref_insert() is being called with newref as oldref (and oldref as NULL) on purpose in order to print out the values of newref. To reproduce: echo 1 > /sys/kernel/debug/tracing/events/btrfs/btrfs_prelim_ref_insert/enable Perform some writeback operations. Backtrace: BUG: kernel NULL pointer dereference, address: 0000000000000018 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 115949067 P4D 115949067 PUD 11594a067 PMD 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 1 UID: 0 PID: 1188 Comm: fsstress Not tainted 6.15.0-rc2-tester+ #47 PREEMPT(voluntary) 7ca2cef72d5e9c600f0c7718adb6462de8149622 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-2-gc13ff2cd-prebuilt.qemu.org 04/01/2014 RIP: 0010:trace_event_raw_event_btrfs__prelim_ref+0x72/0x130 Code: e8 43 81 9f ff 48 85 c0 74 78 4d 85 e4 0f 84 8f 00 00 00 49 8b 94 24 c0 06 00 00 48 8b 0a 48 89 48 08 48 8b 52 08 48 89 50 10 <49> 8b 55 18 48 89 50 18 49 8b 55 20 48 89 50 20 41 0f b6 55 28 88 RSP: 0018:ffffce44820077a0 EFLAGS: 00010286 RAX: ffff8c6b403f9014 RBX: ffff8c6b55825730 RCX: 304994edf9cf506b RDX: d8b11eb7f0fdb699 RSI: ffff8c6b403f9010 RDI: ffff8c6b403f9010 RBP: 0000000000000001 R08: 0000000000000001 R09: 0000000000000010 R10: 00000000ffffffff R11: 0000000000000000 R12: ffff8c6b4e8fb000 R13: 0000000000000000 R14: ffffce44820077a8 R15: ffff8c6b4abd1540 FS: 00007f4dc6813740(0000) GS:ffff8c6c1d378000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000018 CR3: 000000010eb42000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> prelim_ref_insert+0x1c1/0x270 find_parent_nodes+0x12a6/0x1ee0 ? __entry_text_end+0x101f06/0x101f09 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 btrfs_is_data_extent_shared+0x167/0x640 ? fiemap_process_hole+0xd0/0x2c0 extent_fiemap+0xa5c/0xbc0 ? __entry_text_end+0x101f05/0x101f09 btrfs_fiemap+0x7e/0xd0 do_vfs_ioctl+0x425/0x9d0 __x64_sys_ioctl+0x75/0xc0 Уязвимость функции btrfs_prelim_ref() модуля include/trace/events/btrfs.h ядра операционных систем Linux связана с разыменованием указателей в результате вызовов старых и новых переменных в неправильном порядке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-tcp: don't restore null sk_state_change queue->state_change is set as part of nvmet_tcp_set_queue_sock(), but if the TCP connection isn't established when nvmet_tcp_set_queue_sock() is called then queue->state_change isn't set and sock->sk->sk_state_change isn't replaced. As such we don't need to restore sock->sk->sk_state_change if queue->state_change is NULL. This avoids NULL pointer dereferences such as this: [ 286.462026][ C0] BUG: kernel NULL pointer dereference, address: 0000000000000000 [ 286.462814][ C0] #PF: supervisor instruction fetch in kernel mode [ 286.463796][ C0] #PF: error_code(0x0010) - not-present page [ 286.464392][ C0] PGD 8000000140620067 P4D 8000000140620067 PUD 114201067 PMD 0 [ 286.465086][ C0] Oops: Oops: 0010 [#1] SMP KASAN PTI [ 286.465559][ C0] CPU: 0 UID: 0 PID: 1628 Comm: nvme Not tainted 6.15.0-rc2+ #11 PREEMPT(voluntary) [ 286.466393][ C0] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 [ 286.467147][ C0] RIP: 0010:0x0 [ 286.467420][ C0] Code: Unable to access opcode bytes at 0xffffffffffffffd6. [ 286.467977][ C0] RSP: 0018:ffff8883ae008580 EFLAGS: 00010246 [ 286.468425][ C0] RAX: 0000000000000000 RBX: ffff88813fd34100 RCX: ffffffffa386cc43 [ 286.469019][ C0] RDX: 1ffff11027fa68b6 RSI: 0000000000000008 RDI: ffff88813fd34100 [ 286.469545][ C0] RBP: ffff88813fd34160 R08: 0000000000000000 R09: ffffed1027fa682c [ 286.470072][ C0] R10: ffff88813fd34167 R11: 0000000000000000 R12: ffff88813fd344c3 [ 286.470585][ C0] R13: ffff88813fd34112 R14: ffff88813fd34aec R15: ffff888132cdd268 [ 286.471070][ C0] FS: 00007fe3c04c7d80(0000) GS:ffff88840743f000(0000) knlGS:0000000000000000 [ 286.471644][ C0] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 286.472543][ C0] CR2: ffffffffffffffd6 CR3: 000000012daca000 CR4: 00000000000006f0 [ 286.473500][ C0] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 286.474467][ C0] DR3: 0000000000000000 DR6: 00000000ffff07f0 DR7: 0000000000000400 [ 286.475453][ C0] Call Trace: [ 286.476102][ C0] <IRQ> [ 286.476719][ C0] tcp_fin+0x2bb/0x440 [ 286.477429][ C0] tcp_data_queue+0x190f/0x4e60 [ 286.478174][ C0] ? __build_skb_around+0x234/0x330 [ 286.478940][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.479659][ C0] ? __pfx_tcp_data_queue+0x10/0x10 [ 286.480431][ C0] ? tcp_try_undo_loss+0x640/0x6c0 [ 286.481196][ C0] ? seqcount_lockdep_reader_access.constprop.0+0x82/0x90 [ 286.482046][ C0] ? kvm_clock_get_cycles+0x14/0x30 [ 286.482769][ C0] ? ktime_get+0x66/0x150 [ 286.483433][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.484146][ C0] tcp_rcv_established+0x6e4/0x2050 [ 286.484857][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.485523][ C0] ? ipv4_dst_check+0x160/0x2b0 [ 286.486203][ C0] ? __pfx_tcp_rcv_established+0x10/0x10 [ 286.486917][ C0] ? lock_release+0x217/0x2c0 [ 286.487595][ C0] tcp_v4_do_rcv+0x4d6/0x9b0 [ 286.488279][ C0] tcp_v4_rcv+0x2af8/0x3e30 [ 286.488904][ C0] ? raw_local_deliver+0x51b/0xad0 [ 286.489551][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.490198][ C0] ? __pfx_tcp_v4_rcv+0x10/0x10 [ 286.490813][ C0] ? __pfx_raw_local_deliver+0x10/0x10 [ 286.491487][ C0] ? __pfx_nf_confirm+0x10/0x10 [nf_conntrack] [ 286.492275][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.492900][ C0] ip_protocol_deliver_rcu+0x8f/0x370 [ 286.493579][ C0] ip_local_deliver_finish+0x297/0x420 [ 286.494268][ C0] ip_local_deliver+0x168/0x430 [ 286.494867][ C0] ? __pfx_ip_local_deliver+0x10/0x10 [ 286.495498][ C0] ? __pfx_ip_local_deliver_finish+0x10/0x10 [ 286.496204][ C0] ? ip_rcv_finish_core+0x19a/0x1f20 [ 286.496806][ C0] ? lock_release+0x217/0x2c0 [ 286.497414][ C0] ip_rcv+0x455/0x6e0 [ 286.497945][ C0] ? __pfx_ip_rcv+0x10/0x10 [ ---truncated--- Уязвимость функции nvmet_tcp_set_queue_sock ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vxlan: Annotate FDB data races The 'used' and 'updated' fields in the FDB entry structure can be accessed concurrently by multiple threads, leading to reports such as [1]. Can be reproduced using [2]. Suppress these reports by annotating these accesses using READ_ONCE() / WRITE_ONCE(). [1] BUG: KCSAN: data-race in vxlan_xmit / vxlan_xmit write to 0xffff942604d263a8 of 8 bytes by task 286 on cpu 0: vxlan_xmit+0xb29/0x2380 dev_hard_start_xmit+0x84/0x2f0 __dev_queue_xmit+0x45a/0x1650 packet_xmit+0x100/0x150 packet_sendmsg+0x2114/0x2ac0 __sys_sendto+0x318/0x330 __x64_sys_sendto+0x76/0x90 x64_sys_call+0x14e8/0x1c00 do_syscall_64+0x9e/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f read to 0xffff942604d263a8 of 8 bytes by task 287 on cpu 2: vxlan_xmit+0xadf/0x2380 dev_hard_start_xmit+0x84/0x2f0 __dev_queue_xmit+0x45a/0x1650 packet_xmit+0x100/0x150 packet_sendmsg+0x2114/0x2ac0 __sys_sendto+0x318/0x330 __x64_sys_sendto+0x76/0x90 x64_sys_call+0x14e8/0x1c00 do_syscall_64+0x9e/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f value changed: 0x00000000fffbac6e -> 0x00000000fffbac6f Reported by Kernel Concurrency Sanitizer on: CPU: 2 UID: 0 PID: 287 Comm: mausezahn Not tainted 6.13.0-rc7-01544-gb4b270f11a02 #5 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 [2] #!/bin/bash set +H echo whitelist > /sys/kernel/debug/kcsan echo !vxlan_xmit > /sys/kernel/debug/kcsan ip link add name vx0 up type vxlan id 10010 dstport 4789 local 192.0.2.1 bridge fdb add 00:11:22:33:44:55 dev vx0 self static dst 198.51.100.1 taskset -c 0 mausezahn vx0 -a own -b 00:11:22:33:44:55 -c 0 -q & taskset -c 2 mausezahn vx0 -a own -b 00:11:22:33:44:55 -c 0 -q & Уязвимость модуля drivers/net/vxlan/vxlan_core.c ядра операционных систем Linux связана с состоянием гонки. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: mctrl_gpio: split disable_ms into sync and no_sync APIs The following splat has been observed on a SAMA5D27 platform using atmel_serial: BUG: sleeping function called from invalid context at kernel/irq/manage.c:738 in_atomic(): 1, irqs_disabled(): 128, non_block: 0, pid: 27, name: kworker/u5:0 preempt_count: 1, expected: 0 INFO: lockdep is turned off. irq event stamp: 0 hardirqs last enabled at (0): [<00000000>] 0x0 hardirqs last disabled at (0): [<c01588f0>] copy_process+0x1c4c/0x7bec softirqs last enabled at (0): [<c0158944>] copy_process+0x1ca0/0x7bec softirqs last disabled at (0): [<00000000>] 0x0 CPU: 0 UID: 0 PID: 27 Comm: kworker/u5:0 Not tainted 6.13.0-rc7+ #74 Hardware name: Atmel SAMA5 Workqueue: hci0 hci_power_on [bluetooth] Call trace: unwind_backtrace from show_stack+0x18/0x1c show_stack from dump_stack_lvl+0x44/0x70 dump_stack_lvl from __might_resched+0x38c/0x598 __might_resched from disable_irq+0x1c/0x48 disable_irq from mctrl_gpio_disable_ms+0x74/0xc0 mctrl_gpio_disable_ms from atmel_disable_ms.part.0+0x80/0x1f4 atmel_disable_ms.part.0 from atmel_set_termios+0x764/0x11e8 atmel_set_termios from uart_change_line_settings+0x15c/0x994 uart_change_line_settings from uart_set_termios+0x2b0/0x668 uart_set_termios from tty_set_termios+0x600/0x8ec tty_set_termios from ttyport_set_flow_control+0x188/0x1e0 ttyport_set_flow_control from wilc_setup+0xd0/0x524 [hci_wilc] wilc_setup [hci_wilc] from hci_dev_open_sync+0x330/0x203c [bluetooth] hci_dev_open_sync [bluetooth] from hci_dev_do_open+0x40/0xb0 [bluetooth] hci_dev_do_open [bluetooth] from hci_power_on+0x12c/0x664 [bluetooth] hci_power_on [bluetooth] from process_one_work+0x998/0x1a38 process_one_work from worker_thread+0x6e0/0xfb4 worker_thread from kthread+0x3d4/0x484 kthread from ret_from_fork+0x14/0x28 This warning is emitted when trying to toggle, at the highest level, some flow control (with serdev_device_set_flow_control) in a device driver. At the lowest level, the atmel_serial driver is using serial_mctrl_gpio lib to enable/disable the corresponding IRQs accordingly. The warning emitted by CONFIG_DEBUG_ATOMIC_SLEEP is due to disable_irq (called in mctrl_gpio_disable_ms) being possibly called in some atomic context (some tty drivers perform modem lines configuration in regions protected by port lock). Split mctrl_gpio_disable_ms into two differents APIs, a non-blocking one and a blocking one. Replace mctrl_gpio_disable_ms calls with the relevant version depending on whether the call is protected by some port lock. Уязвимость драйвера TTY ядра операционных систем Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_ffa: Set dma_mask for ffa devices Set dma_mask for FFA devices, otherwise DMA allocation using the device pointer lead to following warning: WARNING: CPU: 1 PID: 1 at kernel/dma/mapping.c:597 dma_alloc_attrs+0xe0/0x124 Уязвимость модуля drivers/firmware/arm_ffa/bus.c ядра операционных систем Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: cx231xx: set device_caps for 417 The video_device for the MPEG encoder did not set device_caps. Add this, otherwise the video device can't be registered (you get a WARN_ON instead). Not seen before since currently 417 support is disabled, but I found this while experimenting with it. Уязвимость модуля drivers/media/usb/cx231xx/cx231xx-417.c ядра операционных систем Linux связана с неверным управлением идентификаторами ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio_ring: Fix data race by tagging event_triggered as racy for KCSAN syzbot reports a data-race when accessing the event_triggered, here is the simplified stack when the issue occurred: ================================================================== BUG: KCSAN: data-race in virtqueue_disable_cb / virtqueue_enable_cb_delayed write to 0xffff8881025bc452 of 1 bytes by task 3288 on cpu 0: virtqueue_enable_cb_delayed+0x42/0x3c0 drivers/virtio/virtio_ring.c:2653 start_xmit+0x230/0x1310 drivers/net/virtio_net.c:3264 __netdev_start_xmit include/linux/netdevice.h:5151 [inline] netdev_start_xmit include/linux/netdevice.h:5160 [inline] xmit_one net/core/dev.c:3800 [inline] read to 0xffff8881025bc452 of 1 bytes by interrupt on cpu 1: virtqueue_disable_cb_split drivers/virtio/virtio_ring.c:880 [inline] virtqueue_disable_cb+0x92/0x180 drivers/virtio/virtio_ring.c:2566 skb_xmit_done+0x5f/0x140 drivers/net/virtio_net.c:777 vring_interrupt+0x161/0x190 drivers/virtio/virtio_ring.c:2715 __handle_irq_event_percpu+0x95/0x490 kernel/irq/handle.c:158 handle_irq_event_percpu kernel/irq/handle.c:193 [inline] value changed: 0x01 -> 0x00 ================================================================== When the data race occurs, the function virtqueue_enable_cb_delayed() sets event_triggered to false, and virtqueue_disable_cb_split/packed() reads it as false due to the race condition. Since event_triggered is an unreliable hint used for optimization, this should only cause the driver temporarily suggest that the device not send an interrupt notification when the event index is used. Fix this KCSAN reported data-race issue by explicitly tagging the access as data_racy. Уязвимость функции virtqueue_enable_cb_delayed() модуля drivers/virtio/virtio_ring.c ядра операционных систем Linux связана с состоянием гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: Fix use-after-free in cifs_fill_dirent There is a race condition in the readdir concurrency process, which may access the rsp buffer after it has been released, triggering the following KASAN warning. ================================================================== BUG: KASAN: slab-use-after-free in cifs_fill_dirent+0xb03/0xb60 [cifs] Read of size 4 at addr ffff8880099b819c by task a.out/342975 CPU: 2 UID: 0 PID: 342975 Comm: a.out Not tainted 6.15.0-rc6+ #240 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x53/0x70 print_report+0xce/0x640 kasan_report+0xb8/0xf0 cifs_fill_dirent+0xb03/0xb60 [cifs] cifs_readdir+0x12cb/0x3190 [cifs] iterate_dir+0x1a1/0x520 __x64_sys_getdents+0x134/0x220 do_syscall_64+0x4b/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f996f64b9f9 Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 0d f7 c3 0c 00 f7 d8 64 89 8 RSP: 002b:00007f996f53de78 EFLAGS: 00000207 ORIG_RAX: 000000000000004e RAX: ffffffffffffffda RBX: 00007f996f53ecdc RCX: 00007f996f64b9f9 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000003 RBP: 00007f996f53dea0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000207 R12: ffffffffffffff88 R13: 0000000000000000 R14: 00007ffc8cd9a500 R15: 00007f996f51e000 </TASK> Allocated by task 408: kasan_save_stack+0x20/0x40 kasan_save_track+0x14/0x30 __kasan_slab_alloc+0x6e/0x70 kmem_cache_alloc_noprof+0x117/0x3d0 mempool_alloc_noprof+0xf2/0x2c0 cifs_buf_get+0x36/0x80 [cifs] allocate_buffers+0x1d2/0x330 [cifs] cifs_demultiplex_thread+0x22b/0x2690 [cifs] kthread+0x394/0x720 ret_from_fork+0x34/0x70 ret_from_fork_asm+0x1a/0x30 Freed by task 342979: kasan_save_stack+0x20/0x40 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x37/0x50 kmem_cache_free+0x2b8/0x500 cifs_buf_release+0x3c/0x70 [cifs] cifs_readdir+0x1c97/0x3190 [cifs] iterate_dir+0x1a1/0x520 __x64_sys_getdents64+0x134/0x220 do_syscall_64+0x4b/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e The buggy address belongs to the object at ffff8880099b8000 which belongs to the cache cifs_request of size 16588 The buggy address is located 412 bytes inside of freed 16588-byte region [ffff8880099b8000, ffff8880099bc0cc) The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x99b8 head: order:3 mapcount:0 entire_mapcount:0 nr_pages_mapped:0 pincount:0 anon flags: 0x80000000000040(head|node=0|zone=1) page_type: f5(slab) raw: 0080000000000040 ffff888001e03400 0000000000000000 dead000000000001 raw: 0000000000000000 0000000000010001 00000000f5000000 0000000000000000 head: 0080000000000040 ffff888001e03400 0000000000000000 dead000000000001 head: 0000000000000000 0000000000010001 00000000f5000000 0000000000000000 head: 0080000000000003 ffffea0000266e01 00000000ffffffff 00000000ffffffff head: ffffffffffffffff 0000000000000000 00000000ffffffff 0000000000000008 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff8880099b8080: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8880099b8100: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff8880099b8180: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8880099b8200: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8880099b8280: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== POC is available in the link [1]. The problem triggering process is as follows: Process 1 Process 2 ----------------------------------- ---truncated--- [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/tipc: fix slab-use-after-free Read in tipc_aead_encrypt_done Syzbot reported a slab-use-after-free with the following call trace: ================================================================== BUG: KASAN: slab-use-after-free in tipc_aead_encrypt_done+0x4bd/0x510 net/tipc/crypto.c:840 Read of size 8 at addr ffff88807a733000 by task kworker/1:0/25 Call Trace: kasan_report+0xd9/0x110 mm/kasan/report.c:601 tipc_aead_encrypt_done+0x4bd/0x510 net/tipc/crypto.c:840 crypto_request_complete include/crypto/algapi.h:266 aead_request_complete include/crypto/internal/aead.h:85 cryptd_aead_crypt+0x3b8/0x750 crypto/cryptd.c:772 crypto_request_complete include/crypto/algapi.h:266 cryptd_queue_worker+0x131/0x200 crypto/cryptd.c:181 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 Allocated by task 8355: kzalloc_noprof include/linux/slab.h:778 tipc_crypto_start+0xcc/0x9e0 net/tipc/crypto.c:1466 tipc_init_net+0x2dd/0x430 net/tipc/core.c:72 ops_init+0xb9/0x650 net/core/net_namespace.c:139 setup_net+0x435/0xb40 net/core/net_namespace.c:343 copy_net_ns+0x2f0/0x670 net/core/net_namespace.c:508 create_new_namespaces+0x3ea/0xb10 kernel/nsproxy.c:110 unshare_nsproxy_namespaces+0xc0/0x1f0 kernel/nsproxy.c:228 ksys_unshare+0x419/0x970 kernel/fork.c:3323 __do_sys_unshare kernel/fork.c:3394 Freed by task 63: kfree+0x12a/0x3b0 mm/slub.c:4557 tipc_crypto_stop+0x23c/0x500 net/tipc/crypto.c:1539 tipc_exit_net+0x8c/0x110 net/tipc/core.c:119 ops_exit_list+0xb0/0x180 net/core/net_namespace.c:173 cleanup_net+0x5b7/0xbf0 net/core/net_namespace.c:640 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 After freed the tipc_crypto tx by delete namespace, tipc_aead_encrypt_done may still visit it in cryptd_queue_worker workqueue. I reproduce this issue by: ip netns add ns1 ip link add veth1 type veth peer name veth2 ip link set veth1 netns ns1 ip netns exec ns1 tipc bearer enable media eth dev veth1 ip netns exec ns1 tipc node set key this_is_a_master_key master ip netns exec ns1 tipc bearer disable media eth dev veth1 ip netns del ns1 The key of reproduction is that, simd_aead_encrypt is interrupted, leading to crypto_simd_usable() return false. Thus, the cryptd_queue_worker is triggered, and the tipc_crypto tx will be visited. tipc_disc_timeout tipc_bearer_xmit_skb tipc_crypto_xmit tipc_aead_encrypt crypto_aead_encrypt // encrypt() simd_aead_encrypt // crypto_simd_usable() is false child = &ctx->cryptd_tfm->base; simd_aead_encrypt crypto_aead_encrypt // encrypt() cryptd_aead_encrypt_enqueue cryptd_aead_enqueue cryptd_enqueue_request // trigger cryptd_queue_worker queue_work_on(smp_processor_id(), cryptd_wq, &cpu_queue->work) Fix this by holding net reference count before encrypt. Уязвимость функции tipc_aead_encrypt_done() модуля net/tipc/crypto.c ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: __legitimize_mnt(): check for MNT_SYNC_UMOUNT should be under mount_lock ... or we risk stealing final mntput from sync umount - raising mnt_count after umount(2) has verified that victim is not busy, but before it has set MNT_SYNC_UMOUNT; in that case __legitimize_mnt() doesn't see that it's safe to quietly undo mnt_count increment and leaves dropping the reference to caller, where it'll be a full-blown mntput(). Check under mount_lock is needed; leaving the current one done before taking that makes no sense - it's nowhere near common enough to bother with. Уязвимость функции __legitimize_mnt() компонента fs/namespace.c ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: pktgen: fix access outside of user given buffer in pktgen_thread_write() Honour the user given buffer size for the strn_len() calls (otherwise strn_len() will access memory outside of the user given buffer). Уязвимость функции pktgen_thread_write() компонента net/core/pktgen.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: genirq/msi: Store the IOMMU IOVA directly in msi_desc instead of iommu_cookie The IOMMU translation for MSI message addresses has been a 2-step process, separated in time: 1) iommu_dma_prepare_msi(): A cookie pointer containing the IOVA address is stored in the MSI descriptor when an MSI interrupt is allocated. 2) iommu_dma_compose_msi_msg(): this cookie pointer is used to compute a translated message address. This has an inherent lifetime problem for the pointer stored in the cookie that must remain valid between the two steps. However, there is no locking at the irq layer that helps protect the lifetime. Today, this works under the assumption that the iommu domain is not changed while MSI interrupts being programmed. This is true for normal DMA API users within the kernel, as the iommu domain is attached before the driver is probed and cannot be changed while a driver is attached. Classic VFIO type1 also prevented changing the iommu domain while VFIO was running as it does not support changing the "container" after starting up. However, iommufd has improved this so that the iommu domain can be changed during VFIO operation. This potentially allows userspace to directly race VFIO_DEVICE_ATTACH_IOMMUFD_PT (which calls iommu_attach_group()) and VFIO_DEVICE_SET_IRQS (which calls into iommu_dma_compose_msi_msg()). This potentially causes both the cookie pointer and the unlocked call to iommu_get_domain_for_dev() on the MSI translation path to become UAFs. Fix the MSI cookie UAF by removing the cookie pointer. The translated IOVA address is already known during iommu_dma_prepare_msi() and cannot change. Thus, it can simply be stored as an integer in the MSI descriptor. The other UAF related to iommu_get_domain_for_dev() will be addressed in patch "iommu: Make iommu_dma_prepare_msi() into a generic operation" by using the IOMMU group mutex. Уязвимость компонента genirq/msi ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm: fix unconditional IO throttle caused by REQ_PREFLUSH When a bio with REQ_PREFLUSH is submitted to dm, __send_empty_flush() generates a flush_bio with REQ_OP_WRITE | REQ_PREFLUSH | REQ_SYNC, which causes the flush_bio to be throttled by wbt_wait(). An example from v5.4, similar problem also exists in upstream: crash> bt 2091206 PID: 2091206 TASK: ffff2050df92a300 CPU: 109 COMMAND: "kworker/u260:0" #0 [ffff800084a2f7f0] __switch_to at ffff80004008aeb8 #1 [ffff800084a2f820] __schedule at ffff800040bfa0c4 #2 [ffff800084a2f880] schedule at ffff800040bfa4b4 #3 [ffff800084a2f8a0] io_schedule at ffff800040bfa9c4 #4 [ffff800084a2f8c0] rq_qos_wait at ffff8000405925bc #5 [ffff800084a2f940] wbt_wait at ffff8000405bb3a0 #6 [ffff800084a2f9a0] __rq_qos_throttle at ffff800040592254 #7 [ffff800084a2f9c0] blk_mq_make_request at ffff80004057cf38 #8 [ffff800084a2fa60] generic_make_request at ffff800040570138 #9 [ffff800084a2fae0] submit_bio at ffff8000405703b4 #10 [ffff800084a2fb50] xlog_write_iclog at ffff800001280834 [xfs] #11 [ffff800084a2fbb0] xlog_sync at ffff800001280c3c [xfs] #12 [ffff800084a2fbf0] xlog_state_release_iclog at ffff800001280df4 [xfs] #13 [ffff800084a2fc10] xlog_write at ffff80000128203c [xfs] #14 [ffff800084a2fcd0] xlog_cil_push at ffff8000012846dc [xfs] #15 [ffff800084a2fda0] xlog_cil_push_work at ffff800001284a2c [xfs] #16 [ffff800084a2fdb0] process_one_work at ffff800040111d08 #17 [ffff800084a2fe00] worker_thread at ffff8000401121cc #18 [ffff800084a2fe70] kthread at ffff800040118de4 After commit 2def2845cc33 ("xfs: don't allow log IO to be throttled"), the metadata submitted by xlog_write_iclog() should not be throttled. But due to the existence of the dm layer, throttling flush_bio indirectly causes the metadata bio to be throttled. Fix this by conditionally adding REQ_IDLE to flush_bio.bi_opf, which makes wbt_should_throttle() return false to avoid wbt_wait(). Уязвимость функции __send_empty_flush() драйвера dm ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: orangefs: Do not truncate file size 'len' is used to store the result of i_size_read(), so making 'len' a size_t results in truncation to 4GiB on 32-bit systems. Уязвимость компонента fs/orangefs/inode.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm cache: prevent BUG_ON by blocking retries on failed device resumes A cache device failing to resume due to mapping errors should not be retried, as the failure leaves a partially initialized policy object. Repeating the resume operation risks triggering BUG_ON when reloading cache mappings into the incomplete policy object. Reproduce steps: 1. create a cache metadata consisting of 512 or more cache blocks, with some mappings stored in the first array block of the mapping array. Here we use cache_restore v1.0 to build the metadata. cat <<EOF >> cmeta.xml <superblock uuid="" block_size="128" nr_cache_blocks="512" \ policy="smq" hint_width="4"> <mappings> <mapping cache_block="0" origin_block="0" dirty="false"/> </mappings> </superblock> EOF dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" cache_restore -i cmeta.xml -o /dev/mapper/cmeta --metadata-version=2 dmsetup remove cmeta 2. wipe the second array block of the mapping array to simulate data degradations. mapping_root=$(dd if=/dev/sdc bs=1c count=8 skip=192 \ 2>/dev/null | hexdump -e '1/8 "%u\n"') ablock=$(dd if=/dev/sdc bs=1c count=8 skip=$((4096*mapping_root+2056)) \ 2>/dev/null | hexdump -e '1/8 "%u\n"') dd if=/dev/zero of=/dev/sdc bs=4k count=1 seek=$ablock 3. try bringing up the cache device. The resume is expected to fail due to the broken array block. dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 65536 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc 262144" dmsetup create cache --notable dmsetup load cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" dmsetup resume cache 4. try resuming the cache again. An unexpected BUG_ON is triggered while loading cache mappings. dmsetup resume cache Kernel logs: (snip) ------------[ cut here ]------------ kernel BUG at drivers/md/dm-cache-policy-smq.c:752! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 0 UID: 0 PID: 332 Comm: dmsetup Not tainted 6.13.4 #3 RIP: 0010:smq_load_mapping+0x3e5/0x570 Fix by disallowing resume operations for devices that failed the initial attempt. Уязвимость компонента drivers/md/dm-cache-target.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rseq: Fix segfault on registration when rseq_cs is non-zero The rseq_cs field is documented as being set to 0 by user-space prior to registration, however this is not currently enforced by the kernel. This can result in a segfault on return to user-space if the value stored in the rseq_cs field doesn't point to a valid struct rseq_cs. The correct solution to this would be to fail the rseq registration when the rseq_cs field is non-zero. However, some older versions of glibc will reuse the rseq area of previous threads without clearing the rseq_cs field and will also terminate the process if the rseq registration fails in a secondary thread. This wasn't caught in testing because in this case the leftover rseq_cs does point to a valid struct rseq_cs. What we can do is clear the rseq_cs field on registration when it's non-zero which will prevent segfaults on registration and won't break the glibc versions that reuse rseq areas on thread creation. Уязвимость компонента rseq.c ядра операционной системы Linux связана с зависимостью от ненадежных входных данных при принятии решения по безопасности. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: lzo - Fix compression buffer overrun Unlike the decompression code, the compression code in LZO never checked for output overruns. It instead assumes that the caller always provides enough buffer space, disregarding the buffer length provided by the caller. Add a safe compression interface that checks for the end of buffer before each write. Use the safe interface in crypto/lzo. Уязвимость модулей crypto, lzo ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm: Check return value from memblock_phys_alloc_range() At least with CONFIG_PHYSICAL_START=0x100000, if there is < 4 MiB of contiguous free memory available at this point, the kernel will crash and burn because memblock_phys_alloc_range() returns 0 on failure, which leads memblock_phys_free() to throw the first 4 MiB of physical memory to the wolves. At a minimum it should fail gracefully with a meaningful diagnostic, but in fact everything seems to work fine without the weird reserve allocation. Уязвимость компонента x86/mm ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libnvdimm/labels: Fix divide error in nd_label_data_init() If a faulty CXL memory device returns a broken zero LSA size in its memory device information (Identify Memory Device (Opcode 4000h), CXL spec. 3.1, 8.2.9.9.1.1), a divide error occurs in the libnvdimm driver: Oops: divide error: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:nd_label_data_init+0x10e/0x800 [libnvdimm] Code and flow: 1) CXL Command 4000h returns LSA size = 0 2) config_size is assigned to zero LSA size (CXL pmem driver): drivers/cxl/pmem.c: .config_size = mds->lsa_size, 3) max_xfer is set to zero (nvdimm driver): drivers/nvdimm/label.c: max_xfer = min_t(size_t, ndd->nsarea.max_xfer, config_size); 4) A subsequent DIV_ROUND_UP() causes a division by zero: drivers/nvdimm/label.c: /* Make our initial read size a multiple of max_xfer size */ drivers/nvdimm/label.c: read_size = min(DIV_ROUND_UP(read_size, max_xfer) * max_xfer, drivers/nvdimm/label.c- config_size); Fix this by checking the config size parameter by extending an existing check. Уязвимость функции nd_label_data_init() компонента drivers/nvdimm/label.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost-scsi: protect vq->log_used with vq->mutex The vhost-scsi completion path may access vq->log_base when vq->log_used is already set to false. vhost-thread QEMU-thread vhost_scsi_complete_cmd_work() -> vhost_add_used() -> vhost_add_used_n() if (unlikely(vq->log_used)) QEMU disables vq->log_used via VHOST_SET_VRING_ADDR. mutex_lock(&vq->mutex); vq->log_used = false now! mutex_unlock(&vq->mutex); QEMU gfree(vq->log_base) log_used() -> log_write(vq->log_base) Assuming the VMM is QEMU. The vq->log_base is from QEMU userpace and can be reclaimed via gfree(). As a result, this causes invalid memory writes to QEMU userspace. The control queue path has the same issue. Уязвимость компонента scsi.c операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Fix timeout on deleted connection NOPIN response timer may expire on a deleted connection and crash with such logs: Did not receive response to NOPIN on CID: 0, failing connection for I_T Nexus (null),i,0x00023d000125,iqn.2017-01.com.iscsi.target,t,0x3d BUG: Kernel NULL pointer dereference on read at 0x00000000 NIP strlcpy+0x8/0xb0 LR iscsit_fill_cxn_timeout_err_stats+0x5c/0xc0 [iscsi_target_mod] Call Trace: iscsit_handle_nopin_response_timeout+0xfc/0x120 [iscsi_target_mod] call_timer_fn+0x58/0x1f0 run_timer_softirq+0x740/0x860 __do_softirq+0x16c/0x420 irq_exit+0x188/0x1c0 timer_interrupt+0x184/0x410 That is because nopin response timer may be re-started on nopin timer expiration. Stop nopin timer before stopping the nopin response timer to be sure that no one of them will be re-started. Уязвимость компонента iscsi ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: dell-wmi-sysman: Avoid buffer overflow in current_password_store() If the 'buf' array received from the user contains an empty string, the 'length' variable will be zero. Accessing the 'buf' array element with index 'length - 1' will result in a buffer overflow. Add a check for an empty string. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции current_password_store() драйвера dell-wmi-sysman ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: pcm: Fix race of buffer access at PCM OSS layer The PCM OSS layer tries to clear the buffer with the silence data at initialization (or reconfiguration) of a stream with the explicit call of snd_pcm_format_set_silence() with runtime->dma_area. But this may lead to a UAF because the accessed runtime->dma_area might be freed concurrently, as it's performed outside the PCM ops. For avoiding it, move the code into the PCM core and perform it inside the buffer access lock, so that it won't be changed during the operation. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: algif_hash - fix double free in hash_accept If accept(2) is called on socket type algif_hash with MSG_MORE flag set and crypto_ahash_import fails, sk2 is freed. However, it is also freed in af_alg_release, leading to slab-use-after-free error. Уязвимость функции hash_accept() компонента crypto/algif_hash.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: prio: fix a race in prio_tune() Gerrard Tai reported a race condition in PRIO, whenever SFQ perturb timer fires at the wrong time. The race is as follows: CPU 0 CPU 1 [1]: lock root [2]: qdisc_tree_flush_backlog() [3]: unlock root | | [5]: lock root | [6]: rehash | [7]: qdisc_tree_reduce_backlog() | [4]: qdisc_put() This can be abused to underflow a parent's qlen. Calling qdisc_purge_queue() instead of qdisc_tree_flush_backlog() should fix the race, because all packets will be purged from the qdisc before releasing the lock. Уязвимость компонента net/sched/sch_prio.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации, нарушить её целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: unshare page tables during VMA split, not before Currently, __split_vma() triggers hugetlb page table unsharing through vm_ops->may_split(). This happens before the VMA lock and rmap locks are taken - which is too early, it allows racing VMA-locked page faults in our process and racing rmap walks from other processes to cause page tables to be shared again before we actually perform the split. Fix it by explicitly calling into the hugetlb unshare logic from __split_vma() in the same place where THP splitting also happens. At that point, both the VMA and the rmap(s) are write-locked. An annoying detail is that we can now call into the helper hugetlb_unshare_pmds() from two different locking contexts: 1. from hugetlb_split(), holding: - mmap lock (exclusively) - VMA lock - file rmap lock (exclusively) 2. hugetlb_unshare_all_pmds(), which I think is designed to be able to call us with only the mmap lock held (in shared mode), but currently only runs while holding mmap lock (exclusively) and VMA lock Backporting note: This commit fixes a racy protection that was introduced in commit b30c14cd6102 ("hugetlb: unshare some PMDs when splitting VMAs"); that commit claimed to fix an issue introduced in 5.13, but it should actually also go all the way back. [jannh@google.com: v2] Уязвимость компонентов mm ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix huge_pmd_unshare() vs GUP-fast race huge_pmd_unshare() drops a reference on a page table that may have previously been shared across processes, potentially turning it into a normal page table used in another process in which unrelated VMAs can afterwards be installed. If this happens in the middle of a concurrent gup_fast(), gup_fast() could end up walking the page tables of another process. While I don't see any way in which that immediately leads to kernel memory corruption, it is really weird and unexpected. Fix it with an explicit broadcast IPI through tlb_remove_table_sync_one(), just like we do in khugepaged when removing page tables for a THP collapse. Уязвимость компонента hugetlb.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ch9200: fix uninitialised access during mii_nway_restart In mii_nway_restart() the code attempts to call mii->mdio_read which is ch9200_mdio_read(). ch9200_mdio_read() utilises a local buffer called "buff", which is initialised with control_read(). However "buff" is conditionally initialised inside control_read(): if (err == size) { memcpy(data, buf, size); } If the condition of "err == size" is not met, then "buff" remains uninitialised. Once this happens the uninitialised "buff" is accessed and returned during ch9200_mdio_read(): return (buff[0] | buff[1] << 8); The problem stems from the fact that ch9200_mdio_read() ignores the return value of control_read(), leading to uinit-access of "buff". To fix this we should check the return value of control_read() and return early on error. Уязвимость функции mii_nway_restart() ядра операционной системы Linux связана с неправильной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ch9200.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ch9200 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ch9200 ``` или ``` kmod list | grep ch9200 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ch9200 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ch9200 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/powernv/memtrace: Fix out of bounds issue in memtrace mmap memtrace mmap issue has an out of bounds issue. This patch fixes the by checking that the requested mapping region size should stay within the allocated region size. Уязвимость модуля arch/powerpc/platforms/powernv/memtrace.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/rapidio/rio_cm.c: prevent possible heap overwrite In riocm_cdev_ioctl(RIO_CM_CHAN_SEND) -> cm_chan_msg_send() -> riocm_ch_send() cm_chan_msg_send() checks that userspace didn't send too much data but riocm_ch_send() failed to check that userspace sent sufficient data. The result is that riocm_ch_send() can write to fields in the rio_ch_chan_hdr which were outside the bounds of the space which cm_chan_msg_send() allocated. Address this by teaching riocm_ch_send() to check that the entire rio_ch_chan_hdr was copied in from userspace. Уязвимость компонента rio_cm.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: cadence: macb: Fix a possible deadlock in macb_halt_tx. There is a situation where after THALT is set high, TGO stays high as well. Because jiffies are never updated, as we are in a context with interrupts disabled, we never exit that loop and have a deadlock. That deadlock was noticed on a sama5d4 device that stayed locked for days. Use retries instead of jiffies so that the timeout really works and we do not have a deadlock anymore. Уязвимость функции macb_halt_tx() ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-buf: insert memory barrier before updating num_fences smp_store_mb() inserts memory barrier after storing operation. It is different with what the comment is originally aiming so Null pointer dereference can be happened if memory update is reordered. Уязвимость функции smp_store_mb() компонента dma-buf ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: espintcp: remove encap socket caching to avoid reference leak The current scheme for caching the encap socket can lead to reference leaks when we try to delete the netns. The reference chain is: xfrm_state -> enacp_sk -> netns Since the encap socket is a userspace socket, it holds a reference on the netns. If we delete the espintcp state (through flush or individual delete) before removing the netns, the reference on the socket is dropped and the netns is correctly deleted. Otherwise, the netns may not be reachable anymore (if all processes within the ns have terminated), so we cannot delete the xfrm state to drop its reference on the socket. This patch results in a small (~2% in my tests) performance regression. A GC-type mechanism could be added for the socket cache, to clear references if the state hasn't been used "recently", but it's a lot more complex than just not caching the socket. Уязвимость компонента espintcp ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/iopl: Cure TIF_IO_BITMAP inconsistencies io_bitmap_exit() is invoked from exit_thread() when a task exists or when a fork fails. In the latter case the exit_thread() cleans up resources which were allocated during fork(). io_bitmap_exit() invokes task_update_io_bitmap(), which in turn ends up in tss_update_io_bitmap(). tss_update_io_bitmap() operates on the current task. If current has TIF_IO_BITMAP set, but no bitmap installed, tss_update_io_bitmap() crashes with a NULL pointer dereference. There are two issues, which lead to that problem: 1) io_bitmap_exit() should not invoke task_update_io_bitmap() when the task, which is cleaned up, is not the current task. That's a clear indicator for a cleanup after a failed fork(). 2) A task should not have TIF_IO_BITMAP set and neither a bitmap installed nor IOPL emulation level 3 activated. This happens when a kernel thread is created in the context of a user space thread, which has TIF_IO_BITMAP set as the thread flags are copied and the IO bitmap pointer is cleared. Other than in the failed fork() case this has no impact because kernel threads including IO workers never return to user space and therefore never invoke tss_update_io_bitmap(). Cure this by adding the missing cleanups and checks: 1) Prevent io_bitmap_exit() to invoke task_update_io_bitmap() if the to be cleaned up task is not the current task. 2) Clear TIF_IO_BITMAP in copy_thread() unconditionally. For user space forks it is set later, when the IO bitmap is inherited in io_bitmap_share(). For paranoia sake, add a warning into tss_update_io_bitmap() to catch the case, when that code is invoked with inconsistent state. Уязвимость функции io_bitmap_exit() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: VMCI: fix race between vmci_host_setup_notify and vmci_ctx_unset_notify During our test, it is found that a warning can be trigger in try_grab_folio as follow: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 1678 at mm/gup.c:147 try_grab_folio+0x106/0x130 Modules linked in: CPU: 0 UID: 0 PID: 1678 Comm: syz.3.31 Not tainted 6.15.0-rc5 #163 PREEMPT(undef) RIP: 0010:try_grab_folio+0x106/0x130 Call Trace: <TASK> follow_huge_pmd+0x240/0x8e0 follow_pmd_mask.constprop.0.isra.0+0x40b/0x5c0 follow_pud_mask.constprop.0.isra.0+0x14a/0x170 follow_page_mask+0x1c2/0x1f0 __get_user_pages+0x176/0x950 __gup_longterm_locked+0x15b/0x1060 ? gup_fast+0x120/0x1f0 gup_fast_fallback+0x17e/0x230 get_user_pages_fast+0x5f/0x80 vmci_host_unlocked_ioctl+0x21c/0xf80 RIP: 0033:0x54d2cd ---[ end trace 0000000000000000 ]--- Digging into the source, context->notify_page may init by get_user_pages_fast and can be seen in vmci_ctx_unset_notify which will try to put_page. However get_user_pages_fast is not finished here and lead to following try_grab_folio warning. The race condition is shown as follow: cpu0 cpu1 vmci_host_do_set_notify vmci_host_setup_notify get_user_pages_fast(uva, 1, FOLL_WRITE, &context->notify_page); lockless_pages_from_mm gup_pgd_range gup_huge_pmd // update &context->notify_page vmci_host_do_set_notify vmci_ctx_unset_notify notify_page = context->notify_page; if (notify_page) put_page(notify_page); // page is freed __gup_longterm_locked __get_user_pages follow_trans_huge_pmd try_grab_folio // warn here To slove this, use local variable page to make notify_page can be seen after finish get_user_pages_fast. Уязвимость компонента vmci_host.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: usbhid: Eliminate recurrent out-of-bounds bug in usbhid_parse() Update struct hid_descriptor to better reflect the mandatory and optional parts of the HID Descriptor as per USB HID 1.11 specification. Note: the kernel currently does not parse any optional HID class descriptors, only the mandatory report descriptor. Update all references to member element desc[0] to rpt_desc. Add test to verify bLength and bNumDescriptors values are valid. Replace the for loop with direct access to the mandatory HID class descriptor member for the report descriptor. This eliminates the possibility of getting an out-of-bounds fault. Add a warning message if the HID descriptor contains any unsupported optional HID class descriptors. Уязвимость компонентов usbhid ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: ets: fix a race in ets_qdisc_change() Gerrard Tai reported a race condition in ETS, whenever SFQ perturb timer fires at the wrong time. The race is as follows: CPU 0 CPU 1 [1]: lock root [2]: qdisc_tree_flush_backlog() [3]: unlock root | | [5]: lock root | [6]: rehash | [7]: qdisc_tree_reduce_backlog() | [4]: qdisc_put() This can be abused to underflow a parent's qlen. Calling qdisc_purge_queue() instead of qdisc_tree_flush_backlog() should fix the race, because all packets will be purged from the qdisc before releasing the lock. Уязвимость компонента sch_ets.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: red: fix a race in __red_change() Gerrard Tai reported a race condition in RED, whenever SFQ perturb timer fires at the wrong time. The race is as follows: CPU 0 CPU 1 [1]: lock root [2]: qdisc_tree_flush_backlog() [3]: unlock root | | [5]: lock root | [6]: rehash | [7]: qdisc_tree_reduce_backlog() | [4]: qdisc_put() This can be abused to underflow a parent's qlen. Calling qdisc_purge_queue() instead of qdisc_tree_flush_backlog() should fix the race, because all packets will be purged from the qdisc before releasing the lock. Уязвимость компонента sch_ets.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mdiobus: Fix potential out-of-bounds read/write access When using publicly available tools like 'mdio-tools' to read/write data from/to network interface and its PHY via mdiobus, there is no verification of parameters passed to the ioctl and it accepts any mdio address. Currently there is support for 32 addresses in kernel via PHY_MAX_ADDR define, but it is possible to pass higher value than that via ioctl. While read/write operation should generally fail in this case, mdiobus provides stats array, where wrong address may allow out-of-bounds read/write. Fix that by adding address verification before read/write operation. While this excludes this access from any statistics, it improves security of read/write operation. Уязвимость компонента mdio_bus.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: Fix TOCTOU issue in sk_is_readable() sk->sk_prot->sock_is_readable is a valid function pointer when sk resides in a sockmap. After the last sk_psock_put() (which usually happens when socket is removed from sockmap), sk->sk_prot gets restored and sk->sk_prot->sock_is_readable becomes NULL. This makes sk_is_readable() racy, if the value of sk->sk_prot is reloaded after the initial check. Which in turn may lead to a null pointer dereference. Ensure the function pointer does not turn NULL after the check. Уязвимость компонента sock.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: CPPC: Fix NULL pointer dereference when nosmp is used With nosmp in cmdline, other CPUs are not brought up, leaving their cpc_desc_ptr NULL. CPU0's iteration via for_each_possible_cpu() dereferences these NULL pointers, causing panic. Panic backtrace: [ 0.401123] Unable to handle kernel NULL pointer dereference at virtual address 00000000000000b8 ... [ 0.403255] [<ffffffff809a5818>] cppc_allow_fast_switch+0x6a/0xd4 ... Kernel panic - not syncing: Attempted to kill init! [ rjw: New subject ] Уязвимость компонента cppc_acpi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: sch_sfq: fix a potential crash on gso_skb handling SFQ has an assumption of always being able to queue at least one packet. However, after the blamed commit, sch->q.len can be inflated by packets in sch->gso_skb, and an enqueue() on an empty SFQ qdisc can be followed by an immediate drop. Fix sfq_drop() to properly clear q->tail in this situation. ip netns add lb ip link add dev to-lb type veth peer name in-lb netns lb ethtool -K to-lb tso off # force qdisc to requeue gso_skb ip netns exec lb ethtool -K in-lb gro on # enable NAPI ip link set dev to-lb up ip -netns lb link set dev in-lb up ip addr add dev to-lb 192.168.20.1/24 ip -netns lb addr add dev in-lb 192.168.20.2/24 tc qdisc replace dev to-lb root sfq limit 100 ip netns exec lb netserver netperf -H 192.168.20.2 -l 100 & netperf -H 192.168.20.2 -l 100 & netperf -H 192.168.20.2 -l 100 & netperf -H 192.168.20.2 -l 100 & Уязвимость компонента sch_sfq.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix UAF on mgmt_remove_adv_monitor_complete This reworks MGMT_OP_REMOVE_ADV_MONITOR to not use mgmt_pending_add to avoid crashes like bellow: ================================================================== BUG: KASAN: slab-use-after-free in mgmt_remove_adv_monitor_complete+0xe5/0x540 net/bluetooth/mgmt.c:5406 Read of size 8 at addr ffff88801c53f318 by task kworker/u5:5/5341 CPU: 0 UID: 0 PID: 5341 Comm: kworker/u5:5 Not tainted 6.15.0-syzkaller-10402-g4cb6c8af8591 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: hci0 hci_cmd_sync_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xd2/0x2b0 mm/kasan/report.c:521 kasan_report+0x118/0x150 mm/kasan/report.c:634 mgmt_remove_adv_monitor_complete+0xe5/0x540 net/bluetooth/mgmt.c:5406 hci_cmd_sync_work+0x261/0x3a0 net/bluetooth/hci_sync.c:334 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xade/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x711/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 5987: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x230/0x3d0 mm/slub.c:4358 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] mgmt_pending_new+0x65/0x240 net/bluetooth/mgmt_util.c:252 mgmt_pending_add+0x34/0x120 net/bluetooth/mgmt_util.c:279 remove_adv_monitor+0x103/0x1b0 net/bluetooth/mgmt.c:5454 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:727 sock_write_iter+0x258/0x330 net/socket.c:1131 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x548/0xa90 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 5989: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x62/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2380 [inline] slab_free mm/slub.c:4642 [inline] kfree+0x18e/0x440 mm/slub.c:4841 mgmt_pending_foreach+0xc9/0x120 net/bluetooth/mgmt_util.c:242 mgmt_index_removed+0x10d/0x2f0 net/bluetooth/mgmt.c:9366 hci_sock_bind+0xbe9/0x1000 net/bluetooth/hci_sock.c:1314 __sys_bind_socket net/socket.c:1810 [inline] __sys_bind+0x2c3/0x3e0 net/socket.c:1841 __do_sys_bind net/socket.c:1846 [inline] __se_sys_bind net/socket.c:1844 [inline] __x64_sys_bind+0x7a/0x90 net/socket.c:1844 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции mgmt_remove_adv_monitor_complete() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: core: ufs: Fix a hang in the error handler ufshcd_err_handling_prepare() calls ufshcd_rpm_get_sync(). The latter function can only succeed if UFSHCD_EH_IN_PROGRESS is not set because resuming involves submitting a SCSI command and ufshcd_queuecommand() returns SCSI_MLQUEUE_HOST_BUSY if UFSHCD_EH_IN_PROGRESS is set. Fix this hang by setting UFSHCD_EH_IN_PROGRESS after ufshcd_rpm_get_sync() has been called instead of before. Backtrace: __switch_to+0x174/0x338 __schedule+0x600/0x9e4 schedule+0x7c/0xe8 schedule_timeout+0xa4/0x1c8 io_schedule_timeout+0x48/0x70 wait_for_common_io+0xa8/0x160 //waiting on START_STOP wait_for_completion_io_timeout+0x10/0x20 blk_execute_rq+0xe4/0x1e4 scsi_execute_cmd+0x108/0x244 ufshcd_set_dev_pwr_mode+0xe8/0x250 __ufshcd_wl_resume+0x94/0x354 ufshcd_wl_runtime_resume+0x3c/0x174 scsi_runtime_resume+0x64/0xa4 rpm_resume+0x15c/0xa1c __pm_runtime_resume+0x4c/0x90 // Runtime resume ongoing ufshcd_err_handler+0x1a0/0xd08 process_one_work+0x174/0x808 worker_thread+0x15c/0x490 kthread+0xf4/0x1ec ret_from_fork+0x10/0x20 [ bvanassche: rewrote patch description ] Уязвимость функции ufshcd_err_handling_prepare ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_set_pipapo_avx2: fix initial map fill If the first field doesn't cover the entire start map, then we must zero out the remainder, else we leak those bits into the next match round map. The early fix was incomplete and did only fix up the generic C implementation. A followup patch adds a test case to nft_concat_range.sh. Уязвимость компонента nft_set_pipapo_avx2.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L', score=9.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gve: add missing NULL check for gve_alloc_pending_packet() in TX DQO gve_alloc_pending_packet() can return NULL, but gve_tx_add_skb_dqo() did not check for this case before dereferencing the returned pointer. Add a missing NULL check to prevent a potential NULL pointer dereference when allocation fails. This improves robustness in low-memory scenarios. Уязвимость функции gve_alloc_pending_packet() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix udp gso skb_segment after pull from frag_list Commit a1e40ac5b5e9 ("net: gso: fix udp gso fraglist segmentation after pull from frag_list") detected invalid geometry in frag_list skbs and redirects them from skb_segment_list to more robust skb_segment. But some packets with modified geometry can also hit bugs in that code. We don't know how many such cases exist. Addressing each one by one also requires touching the complex skb_segment code, which risks introducing bugs for other types of skbs. Instead, linearize all these packets that fail the basic invariants on gso fraglist skbs. That is more robust. If only part of the fraglist payload is pulled into head_skb, it will always cause exception when splitting skbs by skb_segment. For detailed call stack information, see below. Valid SKB_GSO_FRAGLIST skbs - consist of two or more segments - the head_skb holds the protocol headers plus first gso_size - one or more frag_list skbs hold exactly one segment - all but the last must be gso_size Optional datapath hooks such as NAT and BPF (bpf_skb_pull_data) can modify fraglist skbs, breaking these invariants. In extreme cases they pull one part of data into skb linear. For UDP, this causes three payloads with lengths of (11,11,10) bytes were pulled tail to become (12,10,10) bytes. The skbs no longer meets the above SKB_GSO_FRAGLIST conditions because payload was pulled into head_skb, it needs to be linearized before pass to regular skb_segment. skb_segment+0xcd0/0xd14 __udp_gso_segment+0x334/0x5f4 udp4_ufo_fragment+0x118/0x15c inet_gso_segment+0x164/0x338 skb_mac_gso_segment+0xc4/0x13c __skb_gso_segment+0xc4/0x124 validate_xmit_skb+0x9c/0x2c0 validate_xmit_skb_list+0x4c/0x80 sch_direct_xmit+0x70/0x404 __dev_queue_xmit+0x64c/0xe5c neigh_resolve_output+0x178/0x1c4 ip_finish_output2+0x37c/0x47c __ip_finish_output+0x194/0x240 ip_finish_output+0x20/0xf4 ip_output+0x100/0x1a0 NF_HOOK+0xc4/0x16c ip_forward+0x314/0x32c ip_rcv+0x90/0x118 __netif_receive_skb+0x74/0x124 process_backlog+0xe8/0x1a4 __napi_poll+0x5c/0x1f8 net_rx_action+0x154/0x314 handle_softirqs+0x154/0x4b8 [118.376811] [C201134] rxq0_pus: [name:bug&]kernel BUG at net/core/skbuff.c:4278! [118.376829] [C201134] rxq0_pus: [name:traps&]Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [118.470774] [C201134] rxq0_pus: [name:mrdump&]Kernel Offset: 0x178cc00000 from 0xffffffc008000000 [118.470810] [C201134] rxq0_pus: [name:mrdump&]PHYS_OFFSET: 0x40000000 [118.470827] [C201134] rxq0_pus: [name:mrdump&]pstate: 60400005 (nZCv daif +PAN -UAO) [118.470848] [C201134] rxq0_pus: [name:mrdump&]pc : [0xffffffd79598aefc] skb_segment+0xcd0/0xd14 [118.470900] [C201134] rxq0_pus: [name:mrdump&]lr : [0xffffffd79598a5e8] skb_segment+0x3bc/0xd14 [118.470928] [C201134] rxq0_pus: [name:mrdump&]sp : ffffffc008013770 Уязвимость модуля net/ipv4/udp_offload.c ядра операционной системы Linux связана с некорректным преобразованием типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: make sure that ptp_rate is not 0 before configuring timestamping The stmmac platform drivers that do not open-code the clk_ptp_rate value after having retrieved the default one from the device-tree can end up with 0 in clk_ptp_rate (as clk_get_rate can return 0). It will eventually propagate up to PTP initialization when bringing up the interface, leading to a divide by 0: Division by zero in kernel. CPU: 1 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.12.30-00001-g48313bd5768a #22 Hardware name: STM32 (Device Tree Support) Call trace: unwind_backtrace from show_stack+0x18/0x1c show_stack from dump_stack_lvl+0x6c/0x8c dump_stack_lvl from Ldiv0_64+0x8/0x18 Ldiv0_64 from stmmac_init_tstamp_counter+0x190/0x1a4 stmmac_init_tstamp_counter from stmmac_hw_setup+0xc1c/0x111c stmmac_hw_setup from __stmmac_open+0x18c/0x434 __stmmac_open from stmmac_open+0x3c/0xbc stmmac_open from __dev_open+0xf4/0x1ac __dev_open from __dev_change_flags+0x1cc/0x224 __dev_change_flags from dev_change_flags+0x24/0x60 dev_change_flags from ip_auto_config+0x2e8/0x11a0 ip_auto_config from do_one_initcall+0x84/0x33c do_one_initcall from kernel_init_freeable+0x1b8/0x214 kernel_init_freeable from kernel_init+0x24/0x140 kernel_init from ret_from_fork+0x14/0x28 Exception stack(0xe0815fb0 to 0xe0815ff8) Prevent this division by 0 by adding an explicit check and error log about the actual issue. While at it, remove the same check from stmmac_ptp_register, which then becomes duplicate Уязвимость модулей drivers/net/ethernet/stmicro/stmmac/stmmac_main.c и drivers/net/ethernet/stmicro/stmmac/stmmac_ptp.c ядра операционной системы Linux связана с ошибками деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: coresight: prevent deactivate active config while enabling the config While enable active config via cscfg_csdev_enable_active_config(), active config could be deactivated via configfs' sysfs interface. This could make UAF issue in below scenario: CPU0 CPU1 (sysfs enable) load module cscfg_load_config_sets() activate config. // sysfs (sys_active_cnt == 1) ... cscfg_csdev_enable_active_config() lock(csdev->cscfg_csdev_lock) // here load config activate by CPU1 unlock(csdev->cscfg_csdev_lock) deactivate config // sysfs (sys_activec_cnt == 0) cscfg_unload_config_sets() unload module // access to config_desc which freed // while unloading module. cscfg_csdev_enable_config To address this, use cscfg_config_desc's active_cnt as a reference count which will be holded when - activate the config. - enable the activated config. and put the module reference when config_active_cnt == 0. Уязвимость функции cscfg_csdev_enable_active_config() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: Fix potential null-ptr-deref in mlb_usio_probe() devm_ioremap() can return NULL on error. Currently, mlb_usio_probe() does not check for this case, which could result in a NULL pointer dereference. Add NULL check after devm_ioremap() to prevent this issue. Уязвимость функции mlb_usio_probe() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: renesas_usbhs: Reorder clock handling and power management in probe Reorder the initialization sequence in `usbhs_probe()` to enable runtime PM before accessing registers, preventing potential crashes due to uninitialized clocks. Currently, in the probe path, registers are accessed before enabling the clocks, leading to a synchronous external abort on the RZ/V2H SoC. The problematic call flow is as follows: usbhs_probe() usbhs_sys_clock_ctrl() usbhs_bset() usbhs_write() iowrite16() <-- Register access before enabling clocks Since `iowrite16()` is performed without ensuring the required clocks are enabled, this can lead to access errors. To fix this, enable PM runtime early in the probe function and ensure clocks are acquired before register access, preventing crashes like the following on RZ/V2H: [13.272640] Internal error: synchronous external abort: 0000000096000010 [#1] PREEMPT SMP [13.280814] Modules linked in: cec renesas_usbhs(+) drm_kms_helper fuse drm backlight ipv6 [13.289088] CPU: 1 UID: 0 PID: 195 Comm: (udev-worker) Not tainted 6.14.0-rc7+ #98 [13.296640] Hardware name: Renesas RZ/V2H EVK Board based on r9a09g057h44 (DT) [13.303834] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [13.310770] pc : usbhs_bset+0x14/0x4c [renesas_usbhs] [13.315831] lr : usbhs_probe+0x2e4/0x5ac [renesas_usbhs] [13.321138] sp : ffff8000827e3850 [13.324438] x29: ffff8000827e3860 x28: 0000000000000000 x27: ffff8000827e3ca0 [13.331554] x26: ffff8000827e3ba0 x25: ffff800081729668 x24: 0000000000000025 [13.338670] x23: ffff0000c0f08000 x22: 0000000000000000 x21: ffff0000c0f08010 [13.345783] x20: 0000000000000000 x19: ffff0000c3b52080 x18: 00000000ffffffff [13.352895] x17: 0000000000000000 x16: 0000000000000000 x15: ffff8000827e36ce [13.360009] x14: 00000000000003d7 x13: 00000000000003d7 x12: 0000000000000000 [13.367122] x11: 0000000000000000 x10: 0000000000000aa0 x9 : ffff8000827e3750 [13.374235] x8 : ffff0000c1850b00 x7 : 0000000003826060 x6 : 000000000000001c [13.381347] x5 : 000000030d5fcc00 x4 : ffff8000825c0000 x3 : 0000000000000000 [13.388459] x2 : 0000000000000400 x1 : 0000000000000000 x0 : ffff0000c3b52080 [13.395574] Call trace: [13.398013] usbhs_bset+0x14/0x4c [renesas_usbhs] (P) [13.403076] platform_probe+0x68/0xdc [13.406738] really_probe+0xbc/0x2c0 [13.410306] __driver_probe_device+0x78/0x120 [13.414653] driver_probe_device+0x3c/0x154 [13.418825] __driver_attach+0x90/0x1a0 [13.422647] bus_for_each_dev+0x7c/0xe0 [13.426470] driver_attach+0x24/0x30 [13.430032] bus_add_driver+0xe4/0x208 [13.433766] driver_register+0x68/0x130 [13.437587] __platform_driver_register+0x24/0x30 [13.442273] renesas_usbhs_driver_init+0x20/0x1000 [renesas_usbhs] [13.448450] do_one_initcall+0x60/0x1d4 [13.452276] do_init_module+0x54/0x1f8 [13.456014] load_module+0x1754/0x1c98 [13.459750] init_module_from_file+0x88/0xcc [13.464004] __arm64_sys_finit_module+0x1c4/0x328 [13.468689] invoke_syscall+0x48/0x104 [13.472426] el0_svc_common.constprop.0+0xc0/0xe0 [13.477113] do_el0_svc+0x1c/0x28 [13.480415] el0_svc+0x30/0xcc [13.483460] el0t_64_sync_handler+0x10c/0x138 [13.487800] el0t_64_sync+0x198/0x19c [13.491453] Code: 2a0103e1 12003c42 12003c63 8b010084 (79400084) [13.497522] ---[ end trace 0000000000000000 ]--- Уязвимость функции usbhs_probe() компонента usb ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: Add NULL check in udma_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, udma_probe() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функций udma_probe() и devm_kasprintf() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwmon: (asus-ec-sensors) check sensor index in read_string() Prevent a potential invalid memory access when the requested sensor is not found. find_ec_sensor_index() may return a negative value (e.g. -ENOENT), but its result was used without checking, which could lead to undefined behavior when passed to get_sensor_info(). Add a proper check to return -EINVAL if sensor_index is negative. Found by Linux Verification Center (linuxtesting.org) with SVACE. [groeck: Return error code returned from find_ec_sensor_index] Уязвимость функции read_string() компонента hwmon ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: backlight: pm8941: Add NULL check in wled_configure() devm_kasprintf() returns NULL when memory allocation fails. Currently, wled_configure() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функции wled_configure() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: aspeed: Add NULL check in aspeed_lpc_enable_snoop() devm_kasprintf() returns NULL when memory allocation fails. Currently, aspeed_lpc_enable_snoop() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. [arj: Fix Fixes: tag to use subject from 3772e5da4454] Уязвимость функции aspeed_lpc_enable_snoop() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: Fix the dead loop of MPLS parse The unexpected MPLS packet may not end with the bottom label stack. When there are many stacks, The label count value has wrapped around. A dead loop occurs, soft lockup/CPU stuck finally. stack backtrace: UBSAN: array-index-out-of-bounds in /build/linux-0Pa0xK/linux-5.15.0/net/openvswitch/flow.c:662:26 index -1 is out of range for type '__be32 [3]' CPU: 34 PID: 0 Comm: swapper/34 Kdump: loaded Tainted: G OE 5.15.0-121-generic #131-Ubuntu Hardware name: Dell Inc. PowerEdge C6420/0JP9TF, BIOS 2.12.2 07/14/2021 Call Trace: <IRQ> show_stack+0x52/0x5c dump_stack_lvl+0x4a/0x63 dump_stack+0x10/0x16 ubsan_epilogue+0x9/0x36 __ubsan_handle_out_of_bounds.cold+0x44/0x49 key_extract_l3l4+0x82a/0x840 [openvswitch] ? kfree_skbmem+0x52/0xa0 key_extract+0x9c/0x2b0 [openvswitch] ovs_flow_key_extract+0x124/0x350 [openvswitch] ovs_vport_receive+0x61/0xd0 [openvswitch] ? kernel_init_free_pages.part.0+0x4a/0x70 ? get_page_from_freelist+0x353/0x540 netdev_port_receive+0xc4/0x180 [openvswitch] ? netdev_port_receive+0x180/0x180 [openvswitch] netdev_frame_hook+0x1f/0x40 [openvswitch] __netif_receive_skb_core.constprop.0+0x23a/0xf00 __netif_receive_skb_list_core+0xfa/0x240 netif_receive_skb_list_internal+0x18e/0x2a0 napi_complete_done+0x7a/0x1c0 bnxt_poll+0x155/0x1c0 [bnxt_en] __napi_poll+0x30/0x180 net_rx_action+0x126/0x280 ? bnxt_msix+0x67/0x80 [bnxt_en] handle_softirqs+0xda/0x2d0 irq_exit_rcu+0x96/0xc0 common_interrupt+0x8e/0xa0 </IRQ> Уязвимость функции key_extract_l3l4 модуля net/openvswitch/flow.c компонента openvswitch ядра операционных систем Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем отправки специально созданных MPLS-пакетов [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: calipso: Don't call calipso functions for AF_INET sk. syzkaller reported a null-ptr-deref in txopt_get(). [0] The offset 0x70 was of struct ipv6_txoptions in struct ipv6_pinfo, so struct ipv6_pinfo was NULL there. However, this never happens for IPv6 sockets as inet_sk(sk)->pinet6 is always set in inet6_create(), meaning the socket was not IPv6 one. The root cause is missing validation in netlbl_conn_setattr(). netlbl_conn_setattr() switches branches based on struct sockaddr.sa_family, which is passed from userspace. However, netlbl_conn_setattr() does not check if the address family matches the socket. The syzkaller must have called connect() for an IPv6 address on an IPv4 socket. We have a proper validation in tcp_v[46]_connect(), but security_socket_connect() is called in the earlier stage. Let's copy the validation to netlbl_conn_setattr(). [0]: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000e: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000070-0x0000000000000077] CPU: 2 UID: 0 PID: 12928 Comm: syz.9.1677 Not tainted 6.12.0 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:txopt_get include/net/ipv6.h:390 [inline] RIP: 0010: Code: 02 00 00 49 8b ac 24 f8 02 00 00 e8 84 69 2a fd e8 ff 00 16 fd 48 8d 7d 70 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 53 02 00 00 48 8b 6d 70 48 85 ed 0f 84 ab 01 00 RSP: 0018:ffff88811b8afc48 EFLAGS: 00010212 RAX: dffffc0000000000 RBX: 1ffff11023715f8a RCX: ffffffff841ab00c RDX: 000000000000000e RSI: ffffc90007d9e000 RDI: 0000000000000070 RBP: 0000000000000000 R08: ffffed1023715f9d R09: ffffed1023715f9e R10: ffffed1023715f9d R11: 0000000000000003 R12: ffff888123075f00 R13: ffff88810245bd80 R14: ffff888113646780 R15: ffff888100578a80 FS: 00007f9019bd7640(0000) GS:ffff8882d2d00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f901b927bac CR3: 0000000104788003 CR4: 0000000000770ef0 PKRU: 80000000 Call Trace: <TASK> calipso_sock_setattr+0x56/0x80 net/netlabel/netlabel_calipso.c:557 netlbl_conn_setattr+0x10c/0x280 net/netlabel/netlabel_kapi.c:1177 selinux_netlbl_socket_connect_helper+0xd3/0x1b0 security/selinux/netlabel.c:569 selinux_netlbl_socket_connect_locked security/selinux/netlabel.c:597 [inline] selinux_netlbl_socket_connect+0xb6/0x100 security/selinux/netlabel.c:615 selinux_socket_connect+0x5f/0x80 security/selinux/hooks.c:4931 security_socket_connect+0x50/0xa0 security/security.c:4598 __sys_connect_file+0xa4/0x190 net/socket.c:2067 __sys_connect+0x12c/0x170 net/socket.c:2088 __do_sys_connect net/socket.c:2098 [inline] __se_sys_connect net/socket.c:2095 [inline] __x64_sys_connect+0x73/0xb0 net/socket.c:2095 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xaa/0x1b0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f901b61a12d Code: 02 b8 ff ff ff ff c3 66 0f 1f 44 00 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f9019bd6fa8 EFLAGS: 00000246 ORIG_RAX: 000000000000002a RAX: ffffffffffffffda RBX: 00007f901b925fa0 RCX: 00007f901b61a12d RDX: 000000000000001c RSI: 0000200000000140 RDI: 0000000000000003 RBP: 00007f901b701505 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f901b5b62a0 R15: 00007f9019bb7000 </TASK> Modules linked in: Уязвимость функции txopt_get() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: phy: mscc: Fix memory leak when using one step timestamping Fix memory leak when running one-step timestamping. When running one-step sync timestamping, the HW is configured to insert the TX time into the frame, so there is no reason to keep the skb anymore. As in this case the HW will never generate an interrupt to say that the frame was timestamped, then the frame will never released. Fix this by freeing the frame in case of one-step timestamping. Уязвимость модуля drivers/net/phy/mscc/mscc_ptp.c ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/cma: Fix hang when cma_netevent_callback fails to queue_work The cited commit fixed a crash when cma_netevent_callback was called for a cma_id while work on that id from a previous call had not yet started. The work item was re-initialized in the second call, which corrupted the work item currently in the work queue. However, it left a problem when queue_work fails (because the item is still pending in the work queue from a previous call). In this case, cma_id_put (which is called in the work handler) is therefore not called. This results in a userspace process hang (zombie process). Fix this by calling cma_id_put() if queue_work fails. Уязвимость функции cma_netevent_callback() модуля drivers/infiniband/core/cma.c ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Clear table_sz when rproc_shutdown There is case as below could trigger kernel dump: Use U-Boot to start remote processor(rproc) with resource table published to a fixed address by rproc. After Kernel boots up, stop the rproc, load a new firmware which doesn't have resource table ,and start rproc. When starting rproc with a firmware not have resource table, `memcpy(loaded_table, rproc->cached_table, rproc->table_sz)` will trigger dump, because rproc->cache_table is set to NULL during the last stop operation, but rproc->table_sz is still valid. This issue is found on i.MX8MP and i.MX9. Dump as below: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=000000010af63000 [0000000000000000] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP Modules linked in: CPU: 2 UID: 0 PID: 1060 Comm: sh Not tainted 6.14.0-rc7-next-20250317-dirty #38 Hardware name: NXP i.MX8MPlus EVK board (DT) pstate: a0000005 (NzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __pi_memcpy_generic+0x110/0x22c lr : rproc_start+0x88/0x1e0 Call trace: __pi_memcpy_generic+0x110/0x22c (P) rproc_boot+0x198/0x57c state_store+0x40/0x104 dev_attr_store+0x18/0x2c sysfs_kf_write+0x7c/0x94 kernfs_fop_write_iter+0x120/0x1cc vfs_write+0x240/0x378 ksys_write+0x70/0x108 __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x10c el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x30/0xcc el0t_64_sync_handler+0x10c/0x138 el0t_64_sync+0x198/0x19c Clear rproc->table_sz to address the issue. Уязвимость компонента remoteproc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: aqc111: fix error handling of usbnet read calls Syzkaller, courtesy of syzbot, identified an error (see report [1]) in aqc111 driver, caused by incomplete sanitation of usb read calls' results. This problem is quite similar to the one fixed in commit 920a9fa27e78 ("net: asix: add proper error handling of usb read errors"). For instance, usbnet_read_cmd() may read fewer than 'size' bytes, even if the caller expected the full amount, and aqc111_read_cmd() will not check its result properly. As [1] shows, this may lead to MAC address in aqc111_bind() being only partly initialized, triggering KMSAN warnings. Fix the issue by verifying that the number of bytes read is as expected and not less. [1] Partial syzbot report: BUG: KMSAN: uninit-value in is_valid_ether_addr include/linux/etherdevice.h:208 [inline] BUG: KMSAN: uninit-value in usbnet_probe+0x2e57/0x4390 drivers/net/usb/usbnet.c:1830 is_valid_ether_addr include/linux/etherdevice.h:208 [inline] usbnet_probe+0x2e57/0x4390 drivers/net/usb/usbnet.c:1830 usb_probe_interface+0xd01/0x1310 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:-1 [inline] really_probe+0x4d1/0xd90 drivers/base/dd.c:658 __driver_probe_device+0x268/0x380 drivers/base/dd.c:800 ... Uninit was stored to memory at: dev_addr_mod+0xb0/0x550 net/core/dev_addr_lists.c:582 __dev_addr_set include/linux/netdevice.h:4874 [inline] eth_hw_addr_set include/linux/etherdevice.h:325 [inline] aqc111_bind+0x35f/0x1150 drivers/net/usb/aqc111.c:717 usbnet_probe+0xbe6/0x4390 drivers/net/usb/usbnet.c:1772 usb_probe_interface+0xd01/0x1310 drivers/usb/core/driver.c:396 ... Uninit was stored to memory at: ether_addr_copy include/linux/etherdevice.h:305 [inline] aqc111_read_perm_mac drivers/net/usb/aqc111.c:663 [inline] aqc111_bind+0x794/0x1150 drivers/net/usb/aqc111.c:713 usbnet_probe+0xbe6/0x4390 drivers/net/usb/usbnet.c:1772 usb_probe_interface+0xd01/0x1310 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:-1 [inline] ... Local variable buf.i created at: aqc111_read_perm_mac drivers/net/usb/aqc111.c:656 [inline] aqc111_bind+0x221/0x1150 drivers/net/usb/aqc111.c:713 usbnet_probe+0xbe6/0x4390 drivers/net/usb/usbnet.c:1772 Уязвимость функции usbnet_read_cmd() библиотеки include/linux/etherdevice.h ядра операционных систем Linux недостатками обработки исключений. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, sockmap: Avoid using sk_socket after free when sending The sk->sk_socket is not locked or referenced in backlog thread, and during the call to skb_send_sock(), there is a race condition with the release of sk_socket. All types of sockets(tcp/udp/unix/vsock) will be affected. Race conditions: ''' CPU0 CPU1 backlog::skb_send_sock sendmsg_unlocked sock_sendmsg sock_sendmsg_nosec close(fd): ... ops->release() -> sock_map_close() sk_socket->ops = NULL free(socket) sock->ops->sendmsg ^ panic here ''' The ref of psock become 0 after sock_map_close() executed. ''' void sock_map_close() { ... if (likely(psock)) { ... // !! here we remove psock and the ref of psock become 0 sock_map_remove_links(sk, psock) psock = sk_psock_get(sk); if (unlikely(!psock)) goto no_psock; <=== Control jumps here via goto ... cancel_delayed_work_sync(&psock->work); <=== not executed sk_psock_put(sk, psock); ... } ''' Based on the fact that we already wait for the workqueue to finish in sock_map_close() if psock is held, we simply increase the psock reference count to avoid race conditions. With this patch, if the backlog thread is running, sock_map_close() will wait for the backlog thread to complete and cancel all pending work. If no backlog running, any pending work that hasn't started by then will fail when invoked by sk_psock_get(), as the psock reference count have been zeroed, and sk_psock_drop() will cancel all jobs via cancel_delayed_work_sync(). In summary, we require synchronization to coordinate the backlog thread and close() thread. The panic I catched: ''' Workqueue: events sk_psock_backlog RIP: 0010:sock_sendmsg+0x21d/0x440 RAX: 0000000000000000 RBX: ffffc9000521fad8 RCX: 0000000000000001 ... Call Trace: <TASK> ? die_addr+0x40/0xa0 ? exc_general_protection+0x14c/0x230 ? asm_exc_general_protection+0x26/0x30 ? sock_sendmsg+0x21d/0x440 ? sock_sendmsg+0x3e0/0x440 ? __pfx_sock_sendmsg+0x10/0x10 __skb_send_sock+0x543/0xb70 sk_psock_backlog+0x247/0xb80 ... ''' Уязвимость функции skb_send_sock() компонента BPF ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath9k_htc: Abort software beacon handling if disabled A malicious USB device can send a WMI_SWBA_EVENTID event from an ath9k_htc-managed device before beaconing has been enabled. This causes a device-by-zero error in the driver, leading to either a crash or an out of bounds read. Prevent this by aborting the handling in ath9k_htc_swba() if beacons are not enabled. Уязвимость функции ath9k_htc_swba() компонента wifi ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hisi_acc_vfio_pci: fix XQE dma address error The dma addresses of EQE and AEQE are wrong after migration and results in guest kernel-mode encryption services failure. Comparing the definition of hardware registers, we found that there was an error when the data read from the register was combined into an address. Therefore, the address combination sequence needs to be corrected. Even after fixing the above problem, we still have an issue where the Guest from an old kernel can get migrated to new kernel and may result in wrong data. In order to ensure that the address is correct after migration, if an old magic number is detected, the dma address needs to be updated. Уязвимость драйвера hisi_acc_vfio_pci ядра операционных систем Linux связана с недостаточной проверкой входных данных при обработке DMA-адресов (Direct Memory Access). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: fix the 'para' buffer size to avoid reading out of bounds Set the size to 6 instead of 2, since 'para' array is passed to 'rtw_fw_bt_wifi_control(rtwdev, para[0], &para[1])', which reads 5 bytes: void rtw_fw_bt_wifi_control(struct rtw_dev *rtwdev, u8 op_code, u8 *data) { ... SET_BT_WIFI_CONTROL_DATA1(h2c_pkt, *data); SET_BT_WIFI_CONTROL_DATA2(h2c_pkt, *(data + 1)); ... SET_BT_WIFI_CONTROL_DATA5(h2c_pkt, *(data + 4)); Detected using the static analysis tool - Svace. Уязвимость функции rtw_fw_bt_wifi_control() модуля drivers/net/wireless/realtek/rtw88/coex.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: bcm: rpi: Add NULL check in raspberrypi_clk_register() devm_kasprintf() returns NULL when memory allocation fails. Currently, raspberrypi_clk_register() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функции aspberrypi_clk_register() модуля drivers/clk/bcm/clk-raspberrypi.c ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix error flow upon firmware failure for RQ destruction Upon RQ destruction if the firmware command fails which is the last resource to be destroyed some SW resources were already cleaned regardless of the failure. Now properly rollback the object to its original state upon such failure. In order to avoid a use-after free in case someone tries to destroy the object again, which results in the following kernel trace: refcount_t: underflow; use-after-free. WARNING: CPU: 0 PID: 37589 at lib/refcount.c:28 refcount_warn_saturate+0xf4/0x148 Modules linked in: rdma_ucm(OE) rdma_cm(OE) iw_cm(OE) ib_ipoib(OE) ib_cm(OE) ib_umad(OE) mlx5_ib(OE) rfkill mlx5_core(OE) mlxdevm(OE) ib_uverbs(OE) ib_core(OE) psample mlxfw(OE) mlx_compat(OE) macsec tls pci_hyperv_intf sunrpc vfat fat virtio_net net_failover failover fuse loop nfnetlink vsock_loopback vmw_vsock_virtio_transport_common vmw_vsock_vmci_transport vmw_vmci vsock xfs crct10dif_ce ghash_ce sha2_ce sha256_arm64 sha1_ce virtio_console virtio_gpu virtio_blk virtio_dma_buf virtio_mmio dm_mirror dm_region_hash dm_log dm_mod xpmem(OE) CPU: 0 UID: 0 PID: 37589 Comm: python3 Kdump: loaded Tainted: G OE ------- --- 6.12.0-54.el10.aarch64 #1 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU KVM Virtual Machine, BIOS 0.0.0 02/06/2015 pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : refcount_warn_saturate+0xf4/0x148 lr : refcount_warn_saturate+0xf4/0x148 sp : ffff80008b81b7e0 x29: ffff80008b81b7e0 x28: ffff000133d51600 x27: 0000000000000001 x26: 0000000000000000 x25: 00000000ffffffea x24: ffff00010ae80f00 x23: ffff00010ae80f80 x22: ffff0000c66e5d08 x21: 0000000000000000 x20: ffff0000c66e0000 x19: ffff00010ae80340 x18: 0000000000000006 x17: 0000000000000000 x16: 0000000000000020 x15: ffff80008b81b37f x14: 0000000000000000 x13: 2e656572662d7265 x12: ffff80008283ef78 x11: ffff80008257efd0 x10: ffff80008283efd0 x9 : ffff80008021ed90 x8 : 0000000000000001 x7 : 00000000000bffe8 x6 : c0000000ffff7fff x5 : ffff0001fb8e3408 x4 : 0000000000000000 x3 : ffff800179993000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff000133d51600 Call trace: refcount_warn_saturate+0xf4/0x148 mlx5_core_put_rsc+0x88/0xa0 [mlx5_ib] mlx5_core_destroy_rq_tracked+0x64/0x98 [mlx5_ib] mlx5_ib_destroy_wq+0x34/0x80 [mlx5_ib] ib_destroy_wq_user+0x30/0xc0 [ib_core] uverbs_free_wq+0x28/0x58 [ib_uverbs] destroy_hw_idr_uobject+0x34/0x78 [ib_uverbs] uverbs_destroy_uobject+0x48/0x240 [ib_uverbs] __uverbs_cleanup_ufile+0xd4/0x1a8 [ib_uverbs] uverbs_destroy_ufile_hw+0x48/0x120 [ib_uverbs] ib_uverbs_close+0x2c/0x100 [ib_uverbs] __fput+0xd8/0x2f0 __fput_sync+0x50/0x70 __arm64_sys_close+0x40/0x90 invoke_syscall.constprop.0+0x74/0xd0 do_el0_svc+0x48/0xe8 el0_svc+0x44/0x1d0 el0t_64_sync_handler+0x120/0x130 el0t_64_sync+0x1a4/0x1a8 Уязвимость драйвера mlx5 подсистемы RDMA ядра операционных систем Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on sbi->total_valid_block_count syzbot reported a f2fs bug as below: ------------[ cut here ]------------ kernel BUG at fs/f2fs/f2fs.h:2521! RIP: 0010:dec_valid_block_count+0x3b2/0x3c0 fs/f2fs/f2fs.h:2521 Call Trace: f2fs_truncate_data_blocks_range+0xc8c/0x11a0 fs/f2fs/file.c:695 truncate_dnode+0x417/0x740 fs/f2fs/node.c:973 truncate_nodes+0x3ec/0xf50 fs/f2fs/node.c:1014 f2fs_truncate_inode_blocks+0x8e3/0x1370 fs/f2fs/node.c:1197 f2fs_do_truncate_blocks+0x840/0x12b0 fs/f2fs/file.c:810 f2fs_truncate_blocks+0x10d/0x300 fs/f2fs/file.c:838 f2fs_truncate+0x417/0x720 fs/f2fs/file.c:888 f2fs_setattr+0xc4f/0x12f0 fs/f2fs/file.c:1112 notify_change+0xbca/0xe90 fs/attr.c:552 do_truncate+0x222/0x310 fs/open.c:65 handle_truncate fs/namei.c:3466 [inline] do_open fs/namei.c:3849 [inline] path_openat+0x2e4f/0x35d0 fs/namei.c:4004 do_filp_open+0x284/0x4e0 fs/namei.c:4031 do_sys_openat2+0x12b/0x1d0 fs/open.c:1429 do_sys_open fs/open.c:1444 [inline] __do_sys_creat fs/open.c:1522 [inline] __se_sys_creat fs/open.c:1516 [inline] __x64_sys_creat+0x124/0x170 fs/open.c:1516 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/syscall_64.c:94 The reason is: in fuzzed image, sbi->total_valid_block_count is inconsistent w/ mapped blocks indexed by inode, so, we should not trigger panic for such case, instead, let's print log and set fsck flag. Уязвимость функции total_valid_block_count библиотеки fs/f2fs/f2fs.h ядра операционных систем Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, sockmap: Fix panic when calling skb_linearize The panic can be reproduced by executing the command: ./bench sockmap -c 2 -p 1 -a --rx-verdict-ingress --rx-strp 100000 Then a kernel panic was captured: ''' [ 657.460555] kernel BUG at net/core/skbuff.c:2178! [ 657.462680] Tainted: [W]=WARN [ 657.463287] Workqueue: events sk_psock_backlog ... [ 657.469610] <TASK> [ 657.469738] ? die+0x36/0x90 [ 657.469916] ? do_trap+0x1d0/0x270 [ 657.470118] ? pskb_expand_head+0x612/0xf40 [ 657.470376] ? pskb_expand_head+0x612/0xf40 [ 657.470620] ? do_error_trap+0xa3/0x170 [ 657.470846] ? pskb_expand_head+0x612/0xf40 [ 657.471092] ? handle_invalid_op+0x2c/0x40 [ 657.471335] ? pskb_expand_head+0x612/0xf40 [ 657.471579] ? exc_invalid_op+0x2d/0x40 [ 657.471805] ? asm_exc_invalid_op+0x1a/0x20 [ 657.472052] ? pskb_expand_head+0xd1/0xf40 [ 657.472292] ? pskb_expand_head+0x612/0xf40 [ 657.472540] ? lock_acquire+0x18f/0x4e0 [ 657.472766] ? find_held_lock+0x2d/0x110 [ 657.472999] ? __pfx_pskb_expand_head+0x10/0x10 [ 657.473263] ? __kmalloc_cache_noprof+0x5b/0x470 [ 657.473537] ? __pfx___lock_release.isra.0+0x10/0x10 [ 657.473826] __pskb_pull_tail+0xfd/0x1d20 [ 657.474062] ? __kasan_slab_alloc+0x4e/0x90 [ 657.474707] sk_psock_skb_ingress_enqueue+0x3bf/0x510 [ 657.475392] ? __kasan_kmalloc+0xaa/0xb0 [ 657.476010] sk_psock_backlog+0x5cf/0xd70 [ 657.476637] process_one_work+0x858/0x1a20 ''' The panic originates from the assertion BUG_ON(skb_shared(skb)) in skb_linearize(). A previous commit(see Fixes tag) introduced skb_get() to avoid race conditions between skb operations in the backlog and skb release in the recvmsg path. However, this caused the panic to always occur when skb_linearize is executed. The "--rx-strp 100000" parameter forces the RX path to use the strparser module which aggregates data until it reaches 100KB before calling sockmap logic. The 100KB payload exceeds MAX_MSG_FRAGS, triggering skb_linearize. To fix this issue, just move skb_get into sk_psock_skb_ingress_enqueue. ''' sk_psock_backlog: sk_psock_handle_skb skb_get(skb) <== we move it into 'sk_psock_skb_ingress_enqueue' sk_psock_skb_ingress____________ ↓ | | → sk_psock_skb_ingress_self | sk_psock_skb_ingress_enqueue sk_psock_verdict_apply_________________↑ skb_linearize ''' Note that for verdict_apply path, the skb_get operation is unnecessary so we add 'take_ref' param to control it's behavior. Уязвимость функции skb_linearize() модуля net/core/skmsg.c ядра операционных систем Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: fix ktls panic with sockmap [ 2172.936997] ------------[ cut here ]------------ [ 2172.936999] kernel BUG at lib/iov_iter.c:629! ...... [ 2172.944996] PKRU: 55555554 [ 2172.945155] Call Trace: [ 2172.945299] <TASK> [ 2172.945428] ? die+0x36/0x90 [ 2172.945601] ? do_trap+0xdd/0x100 [ 2172.945795] ? iov_iter_revert+0x178/0x180 [ 2172.946031] ? iov_iter_revert+0x178/0x180 [ 2172.946267] ? do_error_trap+0x7d/0x110 [ 2172.946499] ? iov_iter_revert+0x178/0x180 [ 2172.946736] ? exc_invalid_op+0x50/0x70 [ 2172.946961] ? iov_iter_revert+0x178/0x180 [ 2172.947197] ? asm_exc_invalid_op+0x1a/0x20 [ 2172.947446] ? iov_iter_revert+0x178/0x180 [ 2172.947683] ? iov_iter_revert+0x5c/0x180 [ 2172.947913] tls_sw_sendmsg_locked.isra.0+0x794/0x840 [ 2172.948206] tls_sw_sendmsg+0x52/0x80 [ 2172.948420] ? inet_sendmsg+0x1f/0x70 [ 2172.948634] __sys_sendto+0x1cd/0x200 [ 2172.948848] ? find_held_lock+0x2b/0x80 [ 2172.949072] ? syscall_trace_enter+0x140/0x270 [ 2172.949330] ? __lock_release.isra.0+0x5e/0x170 [ 2172.949595] ? find_held_lock+0x2b/0x80 [ 2172.949817] ? syscall_trace_enter+0x140/0x270 [ 2172.950211] ? lockdep_hardirqs_on_prepare+0xda/0x190 [ 2172.950632] ? ktime_get_coarse_real_ts64+0xc2/0xd0 [ 2172.951036] __x64_sys_sendto+0x24/0x30 [ 2172.951382] do_syscall_64+0x90/0x170 ...... After calling bpf_exec_tx_verdict(), the size of msg_pl->sg may increase, e.g., when the BPF program executes bpf_msg_push_data(). If the BPF program sets cork_bytes and sg.size is smaller than cork_bytes, it will return -ENOSPC and attempt to roll back to the non-zero copy logic. However, during rollback, msg->msg_iter is reset, but since msg_pl->sg.size has been increased, subsequent executions will exceed the actual size of msg_iter. ''' iov_iter_revert(&msg->msg_iter, msg_pl->sg.size - orig_size); ''' The changes in this commit are based on the following considerations: 1. When cork_bytes is set, rolling back to non-zero copy logic is pointless and can directly go to zero-copy logic. 2. We can not calculate the correct number of bytes to revert msg_iter. Assume the original data is "abcdefgh" (8 bytes), and after 3 pushes by the BPF program, it becomes 11-byte data: "abc?de?fgh?". Then, we set cork_bytes to 6, which means the first 6 bytes have been processed, and the remaining 5 bytes "?fgh?" will be cached until the length meets the cork_bytes requirement. However, some data in "?fgh?" is not within 'sg->msg_iter' (but in msg_pl instead), especially the data "?" we pushed. So it doesn't seem as simple as just reverting through an offset of msg_iter. 3. For non-TLS sockets in tcp_bpf_sendmsg, when a "cork" situation occurs, the user-space send() doesn't return an error, and the returned length is the same as the input length parameter, even if some data is cached. Additionally, I saw that the current non-zero-copy logic for handling corking is written as: ''' line 1177 else if (ret != -EAGAIN) { if (ret == -ENOSPC) ret = 0; goto send_end; ''' So it's ok to just return 'copied' without error when a "cork" situation occurs. Уязвимость компонента tls_sw.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: handle hdr_first_de() return value The hdr_first_de() function returns a pointer to a struct NTFS_DE. This pointer may be NULL. To handle the NULL error effectively, it is important to implement an error handler. This will help manage potential errors consistently. Additionally, error handling for the return value already exists at other points where this function is called. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента index.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: Discard stale CPU state when handling SME traps The logic for handling SME traps manipulates saved FPSIMD/SVE/SME state incorrectly, and a race with preemption can result in a task having TIF_SME set and TIF_FOREIGN_FPSTATE clear even though the live CPU state is stale (e.g. with SME traps enabled). This can result in warnings from do_sme_acc() where SME traps are not expected while TIF_SME is set: | /* With TIF_SME userspace shouldn't generate any traps */ | if (test_and_set_thread_flag(TIF_SME)) | WARN_ON(1); This is very similar to the SVE issue we fixed in commit: 751ecf6afd6568ad ("arm64/sve: Discard stale CPU state when handling SVE traps") The race can occur when the SME trap handler is preempted before and after manipulating the saved FPSIMD/SVE/SME state, starting and ending on the same CPU, e.g. | void do_sme_acc(unsigned long esr, struct pt_regs *regs) | { | // Trap on CPU 0 with TIF_SME clear, SME traps enabled | // task->fpsimd_cpu is 0. | // per_cpu_ptr(&fpsimd_last_state, 0) is task. | | ... | | // Preempted; migrated from CPU 0 to CPU 1. | // TIF_FOREIGN_FPSTATE is set. | | get_cpu_fpsimd_context(); | | /* With TIF_SME userspace shouldn't generate any traps */ | if (test_and_set_thread_flag(TIF_SME)) | WARN_ON(1); | | if (!test_thread_flag(TIF_FOREIGN_FPSTATE)) { | unsigned long vq_minus_one = | sve_vq_from_vl(task_get_sme_vl(current)) - 1; | sme_set_vq(vq_minus_one); | | fpsimd_bind_task_to_cpu(); | } | | put_cpu_fpsimd_context(); | | // Preempted; migrated from CPU 1 to CPU 0. | // task->fpsimd_cpu is still 0 | // If per_cpu_ptr(&fpsimd_last_state, 0) is still task then: | // - Stale HW state is reused (with SME traps enabled) | // - TIF_FOREIGN_FPSTATE is cleared | // - A return to userspace skips HW state restore | } Fix the case where the state is not live and TIF_FOREIGN_FPSTATE is set by calling fpsimd_flush_task_state() to detach from the saved CPU state. This ensures that a subsequent context switch will not reuse the stale CPU state, and will instead set TIF_FOREIGN_FPSTATE, forcing the new state to be reloaded from memory prior to a return to userspace. Note: this was originallly posted as [1]. [ Rutland: rewrite commit message ] Уязвимость компонента fpsimd.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: marvell/cesa - Handle zero-length skcipher requests Do not access random memory for zero-length skcipher requests. Just return 0. Уязвимость компонента crypto ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thunderbolt: Do not double dequeue a configuration request Some of our devices crash in tb_cfg_request_dequeue(): general protection fault, probably for non-canonical address 0xdead000000000122 CPU: 6 PID: 91007 Comm: kworker/6:2 Tainted: G U W 6.6.65 RIP: 0010:tb_cfg_request_dequeue+0x2d/0xa0 Call Trace: <TASK> ? tb_cfg_request_dequeue+0x2d/0xa0 tb_cfg_request_work+0x33/0x80 worker_thread+0x386/0x8f0 kthread+0xed/0x110 ret_from_fork+0x38/0x50 ret_from_fork_asm+0x1b/0x30 The circumstances are unclear, however, the theory is that tb_cfg_request_work() can be scheduled twice for a request: first time via frame.callback from ring_work() and second time from tb_cfg_request(). Both times kworkers will execute tb_cfg_request_dequeue(), which results in double list_del() from the ctl->request_queue (the list poison deference hints at it: 0xdead000000000122). Do not dequeue requests that don't have TB_CFG_REQUEST_ACTIVE bit set. Уязвимость функции tb_cfg_request_dequeue() модуля drivers/thunderbolt/ctl.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sch_hfsc: make hfsc_qlen_notify() idempotent hfsc_qlen_notify() is not idempotent either and not friendly to its callers, like fq_codel_dequeue(). Let's make it idempotent to ease qdisc_tree_reduce_backlog() callers' life: 1. update_vf() decreases cl->cl_nactive, so we can check whether it is non-zero before calling it. 2. eltree_remove() always removes RB node cl->el_node, but we can use RB_EMPTY_NODE() + RB_CLEAR_NODE() to make it safe. Уязвимость компонента net/sched/sch_hfsc.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: atm: fix /proc/net/atm/lec handling /proc/net/atm/lec must ensure safety against dev_lec[] changes. It appears it had dev_put() calls without prior dev_hold(), leading to imbalance and UAF. Уязвимость функции dev_put() модуля net/atm/lec.c ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: calipso: Fix null-ptr-deref in calipso_req_{set,del}attr(). syzkaller reported a null-ptr-deref in sock_omalloc() while allocating a CALIPSO option. [0] The NULL is of struct sock, which was fetched by sk_to_full_sk() in calipso_req_setattr(). Since commit a1a5344ddbe8 ("tcp: avoid two atomic ops for syncookies"), reqsk->rsk_listener could be NULL when SYN Cookie is returned to its client, as hinted by the leading SYN Cookie log. Here are 3 options to fix the bug: 1) Return 0 in calipso_req_setattr() 2) Return an error in calipso_req_setattr() 3) Alaways set rsk_listener 1) is no go as it bypasses LSM, but 2) effectively disables SYN Cookie for CALIPSO. 3) is also no go as there have been many efforts to reduce atomic ops and make TCP robust against DDoS. See also commit 3b24d854cb35 ("tcp/dccp: do not touch listener sk_refcnt under synflood"). As of the blamed commit, SYN Cookie already did not need refcounting, and no one has stumbled on the bug for 9 years, so no CALIPSO user will care about SYN Cookie. Let's return an error in calipso_req_setattr() and calipso_req_delattr() in the SYN Cookie case. This can be reproduced by [1] on Fedora and now connect() of nc times out. [0]: TCP: request_sock_TCPv6: Possible SYN flooding on port [::]:20002. Sending cookies. Oops: general protection fault, probably for non-canonical address 0xdffffc0000000006: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000030-0x0000000000000037] CPU: 3 UID: 0 PID: 12262 Comm: syz.1.2611 Not tainted 6.14.0 #2 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:read_pnet include/net/net_namespace.h:406 [inline] RIP: 0010:sock_net include/net/sock.h:655 [inline] RIP: 0010:sock_kmalloc+0x35/0x170 net/core/sock.c:2806 Code: 89 d5 41 54 55 89 f5 53 48 89 fb e8 25 e3 c6 fd e8 f0 91 e3 00 48 8d 7b 30 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 26 01 00 00 48 b8 00 00 00 00 00 fc ff df 4c 8b RSP: 0018:ffff88811af89038 EFLAGS: 00010216 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffff888105266400 RDX: 0000000000000006 RSI: ffff88800c890000 RDI: 0000000000000030 RBP: 0000000000000050 R08: 0000000000000000 R09: ffff88810526640e R10: ffffed1020a4cc81 R11: ffff88810526640f R12: 0000000000000000 R13: 0000000000000820 R14: ffff888105266400 R15: 0000000000000050 FS: 00007f0653a07640(0000) GS:ffff88811af80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f863ba096f4 CR3: 00000000163c0005 CR4: 0000000000770ef0 PKRU: 80000000 Call Trace: <IRQ> ipv6_renew_options+0x279/0x950 net/ipv6/exthdrs.c:1288 calipso_req_setattr+0x181/0x340 net/ipv6/calipso.c:1204 calipso_req_setattr+0x56/0x80 net/netlabel/netlabel_calipso.c:597 netlbl_req_setattr+0x18a/0x440 net/netlabel/netlabel_kapi.c:1249 selinux_netlbl_inet_conn_request+0x1fb/0x320 security/selinux/netlabel.c:342 selinux_inet_conn_request+0x1eb/0x2c0 security/selinux/hooks.c:5551 security_inet_conn_request+0x50/0xa0 security/security.c:4945 tcp_v6_route_req+0x22c/0x550 net/ipv6/tcp_ipv6.c:825 tcp_conn_request+0xec8/0x2b70 net/ipv4/tcp_input.c:7275 tcp_v6_conn_request+0x1e3/0x440 net/ipv6/tcp_ipv6.c:1328 tcp_rcv_state_process+0xafa/0x52b0 net/ipv4/tcp_input.c:6781 tcp_v6_do_rcv+0x8a6/0x1a40 net/ipv6/tcp_ipv6.c:1667 tcp_v6_rcv+0x505e/0x5b50 net/ipv6/tcp_ipv6.c:1904 ip6_protocol_deliver_rcu+0x17c/0x1da0 net/ipv6/ip6_input.c:436 ip6_input_finish+0x103/0x180 net/ipv6/ip6_input.c:480 NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netfilter.h:308 [inline] ip6_input+0x13c/0x6b0 net/ipv6/ip6_input.c:491 dst_input include/net/dst.h:469 [inline] ip6_rcv_finish net/ipv6/ip6_input.c:79 [inline] ip6_rcv_finish+0xb6/0x490 net/ipv6/ip6_input.c:69 NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netf ---truncated--- Уязвимость функций calipso_req_setattr() и calipso_req_delattr() компонента calipso ядра операционных систем Linux связана с нарушением подсчёта количества ссылок на страницы, отображённые в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: lan743x: fix potential out-of-bounds write in lan743x_ptp_io_event_clock_get() Before calling lan743x_ptp_io_event_clock_get(), the 'channel' value is checked against the maximum value of PCI11X1X_PTP_IO_MAX_CHANNELS(8). This seems correct and aligns with the PTP interrupt status register (PTP_INT_STS) specifications. However, lan743x_ptp_io_event_clock_get() writes to ptp->extts[] with only LAN743X_PTP_N_EXTTS(4) elements, using channel as an index: lan743x_ptp_io_event_clock_get(..., u8 channel,...) { ... /* Update Local timestamp */ extts = &ptp->extts[channel]; extts->ts.tv_sec = sec; ... } To avoid an out-of-bounds write and utilize all the supported GPIO inputs, set LAN743X_PTP_N_EXTTS to 8. Detected using the static analysis tool - Svace. Уязвимость функции lan743x_ptp_io_event_clock_get() компонента net ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать влияние на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix null-ptr-deref when acquiring remote ip of ethernet bearer The reproduction steps: 1. create a tun interface 2. enable l2 bearer 3. TIPC_NL_UDP_GET_REMOTEIP with media name set to tun tipc: Started in network mode tipc: Node identity 8af312d38a21, cluster identity 4711 tipc: Enabled bearer <eth:syz_tun>, priority 1 Oops: general protection fault KASAN: null-ptr-deref in range CPU: 1 UID: 1000 PID: 559 Comm: poc Not tainted 6.16.0-rc1+ #117 PREEMPT Hardware name: QEMU Ubuntu 24.04 PC RIP: 0010:tipc_udp_nl_dump_remoteip+0x4a4/0x8f0 the ub was in fact a struct dev. when bid != 0 && skip_cnt != 0, bearer_list[bid] may be NULL or other media when other thread changes it. fix this by checking media_id. Уязвимость виртуального сетевого интерфейса TUN ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: atmtcp: Free invalid length skb in atmtcp_c_send(). syzbot reported the splat below. [0] vcc_sendmsg() copies data passed from userspace to skb and passes it to vcc->dev->ops->send(). atmtcp_c_send() accesses skb->data as struct atmtcp_hdr after checking if skb->len is 0, but it's not enough. Also, when skb->len == 0, skb and sk (vcc) were leaked because dev_kfree_skb() is not called and sk_wmem_alloc adjustment is missing to revert atm_account_tx() in vcc_sendmsg(), which is expected to be done in atm_pop_raw(). Let's properly free skb with an invalid length in atmtcp_c_send(). [0]: BUG: KMSAN: uninit-value in atmtcp_c_send+0x255/0xed0 drivers/atm/atmtcp.c:294 atmtcp_c_send+0x255/0xed0 drivers/atm/atmtcp.c:294 vcc_sendmsg+0xd7c/0xff0 net/atm/common.c:644 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:727 ____sys_sendmsg+0x7e0/0xd80 net/socket.c:2566 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2620 __sys_sendmsg net/socket.c:2652 [inline] __do_sys_sendmsg net/socket.c:2657 [inline] __se_sys_sendmsg net/socket.c:2655 [inline] __x64_sys_sendmsg+0x211/0x3e0 net/socket.c:2655 x64_sys_call+0x32fb/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4154 [inline] slab_alloc_node mm/slub.c:4197 [inline] kmem_cache_alloc_node_noprof+0x818/0xf00 mm/slub.c:4249 kmalloc_reserve+0x13c/0x4b0 net/core/skbuff.c:579 __alloc_skb+0x347/0x7d0 net/core/skbuff.c:670 alloc_skb include/linux/skbuff.h:1336 [inline] vcc_sendmsg+0xb40/0xff0 net/atm/common.c:628 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:727 ____sys_sendmsg+0x7e0/0xd80 net/socket.c:2566 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2620 __sys_sendmsg net/socket.c:2652 [inline] __do_sys_sendmsg net/socket.c:2657 [inline] __se_sys_sendmsg net/socket.c:2655 [inline] __x64_sys_sendmsg+0x211/0x3e0 net/socket.c:2655 x64_sys_call+0x32fb/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 1 UID: 0 PID: 5798 Comm: syz-executor192 Not tainted 6.16.0-rc1-syzkaller-00010-g2c4a1f3fe03e #0 PREEMPT(undef) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Уязвимость функции atmtcp_c_send() компонента atm ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: Revert atm_account_tx() if copy_from_iter_full() fails. In vcc_sendmsg(), we account skb->truesize to sk->sk_wmem_alloc by atm_account_tx(). It is expected to be reverted by atm_pop_raw() later called by vcc->dev->ops->send(vcc, skb). However, vcc_sendmsg() misses the same revert when copy_from_iter_full() fails, and then we will leak a socket. Let's factorise the revert part as atm_return_tx() and call it in the failure path. Note that the corresponding sk_wmem_alloc operation can be found in alloc_tx() as of the blamed commit. $ git blame -L:alloc_tx net/atm/common.c c55fa3cccbc2c~ Уязвимость функции atm_account_tx() компонента atm ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix null pointer dereference in destroy_previous_session If client set ->PreviousSessionId on kerberos session setup stage, NULL pointer dereference error will happen. Since sess->user is not set yet, It can pass the user argument as NULL to destroy_previous_session. sess->user will be set in ksmbd_krb5_authenticate(). So this patch move calling destroy_previous_session() after ksmbd_krb5_authenticate(). Уязвимость функции ksmbd_krb5_authenticate() компонента ksmbd ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: sch_sfq: reject invalid perturb period Gerrard Tai reported that SFQ perturb_period has no range check yet, and this can be used to trigger a race condition fixed in a separate patch. We want to make sure ctl->perturb_period * HZ will not overflow and is positive. tc qd add dev lo root sfq perturb -10 # negative value : error Error: sch_sfq: invalid perturb period. tc qd add dev lo root sfq perturb 1000000000 # too big : error Error: sch_sfq: invalid perturb period. tc qd add dev lo root sfq perturb 2000000 # acceptable value tc -s -d qd sh dev lo qdisc sfq 8005: root refcnt 2 limit 127p quantum 64Kb depth 127 flows 128 divisor 1024 perturb 2000000sec Sent 0 bytes 0 pkt (dropped 0, overlimits 0 requeues 0) backlog 0b 0p requeues 0 Уязвимость компонента net_sched ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jffs2: check that raw node were preallocated before writing summary Syzkaller detected a kernel bug in jffs2_link_node_ref, caused by fault injection in jffs2_prealloc_raw_node_refs. jffs2_sum_write_sumnode doesn't check return value of jffs2_prealloc_raw_node_refs and simply lets any error propagate into jffs2_sum_write_data, which eventually calls jffs2_link_node_ref in order to link the summary to an expectedly allocated node. kernel BUG at fs/jffs2/nodelist.c:592! invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 1 PID: 31277 Comm: syz-executor.7 Not tainted 6.1.128-syzkaller-00139-ge10f83ca10a1 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:jffs2_link_node_ref+0x570/0x690 fs/jffs2/nodelist.c:592 Call Trace: <TASK> jffs2_sum_write_data fs/jffs2/summary.c:841 [inline] jffs2_sum_write_sumnode+0xd1a/0x1da0 fs/jffs2/summary.c:874 jffs2_do_reserve_space+0xa18/0xd60 fs/jffs2/nodemgmt.c:388 jffs2_reserve_space+0x55f/0xaa0 fs/jffs2/nodemgmt.c:197 jffs2_write_inode_range+0x246/0xb50 fs/jffs2/write.c:362 jffs2_write_end+0x726/0x15d0 fs/jffs2/file.c:301 generic_perform_write+0x314/0x5d0 mm/filemap.c:3856 __generic_file_write_iter+0x2ae/0x4d0 mm/filemap.c:3973 generic_file_write_iter+0xe3/0x350 mm/filemap.c:4005 call_write_iter include/linux/fs.h:2265 [inline] do_iter_readv_writev+0x20f/0x3c0 fs/read_write.c:735 do_iter_write+0x186/0x710 fs/read_write.c:861 vfs_iter_write+0x70/0xa0 fs/read_write.c:902 iter_file_splice_write+0x73b/0xc90 fs/splice.c:685 do_splice_from fs/splice.c:763 [inline] direct_splice_actor+0x10c/0x170 fs/splice.c:950 splice_direct_to_actor+0x337/0xa10 fs/splice.c:896 do_splice_direct+0x1a9/0x280 fs/splice.c:1002 do_sendfile+0xb13/0x12c0 fs/read_write.c:1255 __do_sys_sendfile64 fs/read_write.c:1323 [inline] __se_sys_sendfile64 fs/read_write.c:1309 [inline] __x64_sys_sendfile64+0x1cf/0x210 fs/read_write.c:1309 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Fix this issue by checking return value of jffs2_prealloc_raw_node_refs before calling jffs2_sum_write_data. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента summary.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: dell_rbu: Fix list usage Pass the correct list head to list_for_each_entry*() when looping through the packet list. Without this patch, reading the packet data via sysfs will show the data incorrectly (because it starts at the wrong packet), and clearing the packet list will result in a NULL pointer dereference. Уязвимость компонента dell_rbu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbcon: Make sure modelist not set on unregistered console It looks like attempting to write to the "store_modes" sysfs node will run afoul of unregistered consoles: UBSAN: array-index-out-of-bounds in drivers/video/fbdev/core/fbcon.c:122:28 index -1 is out of range for type 'fb_info *[32]' ... fbcon_info_from_console+0x192/0x1a0 drivers/video/fbdev/core/fbcon.c:122 fbcon_new_modelist+0xbf/0x2d0 drivers/video/fbdev/core/fbcon.c:3048 fb_new_modelist+0x328/0x440 drivers/video/fbdev/core/fbmem.c:673 store_modes+0x1c9/0x3e0 drivers/video/fbdev/core/fbsysfs.c:113 dev_attr_store+0x55/0x80 drivers/base/core.c:2439 static struct fb_info *fbcon_registered_fb[FB_MAX]; ... static signed char con2fb_map[MAX_NR_CONSOLES]; ... static struct fb_info *fbcon_info_from_console(int console) ... return fbcon_registered_fb[con2fb_map[console]]; If con2fb_map contains a -1 things go wrong here. Instead, return NULL, as callers of fbcon_info_from_console() are trying to compare against existing "info" pointers, so error handling should kick in correctly. Уязвимость компонента fbcon.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix MMIO write access to an invalid page in i40e_clear_hw When the device sends a specific input, an integer underflow can occur, leading to MMIO write access to an invalid page. Prevent the integer underflow by changing the type of related variables. Уязвимость функции i40e_clear_hw() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Check rcu_read_lock_trace_held() in bpf_map_lookup_percpu_elem() bpf_map_lookup_percpu_elem() helper is also available for sleepable bpf program. When BPF JIT is disabled or under 32-bit host, bpf_map_lookup_percpu_elem() will not be inlined. Using it in a sleepable bpf program will trigger the warning in bpf_map_lookup_percpu_elem(), because the bpf program only holds rcu_read_lock_trace lock. Therefore, add the missed check. Уязвимость компонента helpers.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/iwcm: Fix use-after-free of work objects after cm_id destruction The commit 59c68ac31e15 ("iw_cm: free cm_id resources on the last deref") simplified cm_id resource management by freeing cm_id once all references to the cm_id were removed. The references are removed either upon completion of iw_cm event handlers or when the application destroys the cm_id. This commit introduced the use-after-free condition where cm_id_private object could still be in use by event handler works during the destruction of cm_id. The commit aee2424246f9 ("RDMA/iwcm: Fix a use-after-free related to destroying CM IDs") addressed this use-after- free by flushing all pending works at the cm_id destruction. However, still another use-after-free possibility remained. It happens with the work objects allocated for each cm_id_priv within alloc_work_entries() during cm_id creation, and subsequently freed in dealloc_work_entries() once all references to the cm_id are removed. If the cm_id's last reference is decremented in the event handler work, the work object for the work itself gets removed, and causes the use- after-free BUG below: BUG: KASAN: slab-use-after-free in __pwq_activate_work+0x1ff/0x250 Read of size 8 at addr ffff88811f9cf800 by task kworker/u16:1/147091 CPU: 2 UID: 0 PID: 147091 Comm: kworker/u16:1 Not tainted 6.15.0-rc2+ #27 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 Workqueue: 0x0 (iw_cm_wq) Call Trace: <TASK> dump_stack_lvl+0x6a/0x90 print_report+0x174/0x554 ? __virt_addr_valid+0x208/0x430 ? __pwq_activate_work+0x1ff/0x250 kasan_report+0xae/0x170 ? __pwq_activate_work+0x1ff/0x250 __pwq_activate_work+0x1ff/0x250 pwq_dec_nr_in_flight+0x8c5/0xfb0 process_one_work+0xc11/0x1460 ? __pfx_process_one_work+0x10/0x10 ? assign_work+0x16c/0x240 worker_thread+0x5ef/0xfd0 ? __pfx_worker_thread+0x10/0x10 kthread+0x3b0/0x770 ? __pfx_kthread+0x10/0x10 ? rcu_is_watching+0x11/0xb0 ? _raw_spin_unlock_irq+0x24/0x50 ? rcu_is_watching+0x11/0xb0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x30/0x70 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 147416: kasan_save_stack+0x2c/0x50 kasan_save_track+0x10/0x30 __kasan_kmalloc+0xa6/0xb0 alloc_work_entries+0xa9/0x260 [iw_cm] iw_cm_connect+0x23/0x4a0 [iw_cm] rdma_connect_locked+0xbfd/0x1920 [rdma_cm] nvme_rdma_cm_handler+0x8e5/0x1b60 [nvme_rdma] cma_cm_event_handler+0xae/0x320 [rdma_cm] cma_work_handler+0x106/0x1b0 [rdma_cm] process_one_work+0x84f/0x1460 worker_thread+0x5ef/0xfd0 kthread+0x3b0/0x770 ret_from_fork+0x30/0x70 ret_from_fork_asm+0x1a/0x30 Freed by task 147091: kasan_save_stack+0x2c/0x50 kasan_save_track+0x10/0x30 kasan_save_free_info+0x37/0x60 __kasan_slab_free+0x4b/0x70 kfree+0x13a/0x4b0 dealloc_work_entries+0x125/0x1f0 [iw_cm] iwcm_deref_id+0x6f/0xa0 [iw_cm] cm_work_handler+0x136/0x1ba0 [iw_cm] process_one_work+0x84f/0x1460 worker_thread+0x5ef/0xfd0 kthread+0x3b0/0x770 ret_from_fork+0x30/0x70 ret_from_fork_asm+0x1a/0x30 Last potentially related work creation: kasan_save_stack+0x2c/0x50 kasan_record_aux_stack+0xa3/0xb0 __queue_work+0x2ff/0x1390 queue_work_on+0x67/0xc0 cm_event_handler+0x46a/0x820 [iw_cm] siw_cm_upcall+0x330/0x650 [siw] siw_cm_work_handler+0x6b9/0x2b20 [siw] process_one_work+0x84f/0x1460 worker_thread+0x5ef/0xfd0 kthread+0x3b0/0x770 ret_from_fork+0x30/0x70 ret_from_fork_asm+0x1a/0x30 This BUG is reproducible by repeating the blktests test case nvme/061 for the rdma transport and the siw driver. To avoid the use-after-free of cm_id_private work objects, ensure that the last reference to the cm_id is decremented not in the event handler works, but in the cm_id destruction context. For that purpose, mo ---truncated--- Уязвимость компонента iwcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipc: fix to protect IPCS lookups using RCU syzbot reported that it discovered a use-after-free vulnerability, [0] [0]: https://lore.kernel.org/all/67af13f8.050a0220.21dd3.0038.GAE@google.com/ idr_for_each() is protected by rwsem, but this is not enough. If it is not protected by RCU read-critical region, when idr_for_each() calls radix_tree_node_free() through call_rcu() to free the radix_tree_node structure, the node will be freed immediately, and when reading the next node in radix_tree_for_each_slot(), the already freed memory may be read. Therefore, we need to add code to make sure that idr_for_each() is protected within the RCU read-critical region when we call it in shm_destroy_orphaned(). Уязвимость функции idr_for_each() ядра операционной системы Linux вызвана выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: Fix fb_set_var to prevent null-ptr-deref in fb_videomode_to_var If fb_add_videomode() in fb_set_var() fails to allocate memory for fb_videomode, later it may lead to a null-ptr dereference in fb_videomode_to_var(), as the fb_info is registered while not having the mode in modelist that is expected to be there, i.e. the one that is described in fb_info->var. ================================================================ general protection fault, probably for non-canonical address 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 PID: 30371 Comm: syz-executor.1 Not tainted 5.10.226-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:fb_videomode_to_var+0x24/0x610 drivers/video/fbdev/core/modedb.c:901 Call Trace: display_to_var+0x3a/0x7c0 drivers/video/fbdev/core/fbcon.c:929 fbcon_resize+0x3e2/0x8f0 drivers/video/fbdev/core/fbcon.c:2071 resize_screen drivers/tty/vt/vt.c:1176 [inline] vc_do_resize+0x53a/0x1170 drivers/tty/vt/vt.c:1263 fbcon_modechanged+0x3ac/0x6e0 drivers/video/fbdev/core/fbcon.c:2720 fbcon_update_vcs+0x43/0x60 drivers/video/fbdev/core/fbcon.c:2776 do_fb_ioctl+0x6d2/0x740 drivers/video/fbdev/core/fbmem.c:1128 fb_ioctl+0xe7/0x150 drivers/video/fbdev/core/fbmem.c:1203 vfs_ioctl fs/ioctl.c:48 [inline] __do_sys_ioctl fs/ioctl.c:753 [inline] __se_sys_ioctl fs/ioctl.c:739 [inline] __x64_sys_ioctl+0x19a/0x210 fs/ioctl.c:739 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 ================================================================ The reason is that fb_info->var is being modified in fb_set_var(), and then fb_videomode_to_var() is called. If it fails to add the mode to fb_info->modelist, fb_set_var() returns error, but does not restore the old value of fb_info->var. Restore fb_info->var on failure the same way it is done earlier in the function. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента fbmem.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: Fix do_register_framebuffer to prevent null-ptr-deref in fb_videomode_to_var If fb_add_videomode() in do_register_framebuffer() fails to allocate memory for fb_videomode, it will later lead to a null-ptr dereference in fb_videomode_to_var(), as the fb_info is registered while not having the mode in modelist that is expected to be there, i.e. the one that is described in fb_info->var. ================================================================ general protection fault, probably for non-canonical address 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 PID: 30371 Comm: syz-executor.1 Not tainted 5.10.226-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:fb_videomode_to_var+0x24/0x610 drivers/video/fbdev/core/modedb.c:901 Call Trace: display_to_var+0x3a/0x7c0 drivers/video/fbdev/core/fbcon.c:929 fbcon_resize+0x3e2/0x8f0 drivers/video/fbdev/core/fbcon.c:2071 resize_screen drivers/tty/vt/vt.c:1176 [inline] vc_do_resize+0x53a/0x1170 drivers/tty/vt/vt.c:1263 fbcon_modechanged+0x3ac/0x6e0 drivers/video/fbdev/core/fbcon.c:2720 fbcon_update_vcs+0x43/0x60 drivers/video/fbdev/core/fbcon.c:2776 do_fb_ioctl+0x6d2/0x740 drivers/video/fbdev/core/fbmem.c:1128 fb_ioctl+0xe7/0x150 drivers/video/fbdev/core/fbmem.c:1203 vfs_ioctl fs/ioctl.c:48 [inline] __do_sys_ioctl fs/ioctl.c:753 [inline] __se_sys_ioctl fs/ioctl.c:739 [inline] __x64_sys_ioctl+0x19a/0x210 fs/ioctl.c:739 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 ================================================================ Even though fbcon_init() checks beforehand if fb_match_mode() in var_to_display() fails, it can not prevent the panic because fbcon_init() does not return error code. Considering this and the comment in the code about fb_match_mode() returning NULL - "This should not happen" - it is better to prevent registering the fb_info if its mode was not set successfully. Also move fb_add_videomode() closer to the beginning of do_register_framebuffer() to avoid having to do the cleanup on fail. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента fbmem.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on sit_bitmap_size w/ below testcase, resize will generate a corrupted image which contains inconsistent metadata, so when mounting such image, it will trigger kernel panic: touch img truncate -s $((512*1024*1024*1024)) img mkfs.f2fs -f img $((256*1024*1024)) resize.f2fs -s -i img -t $((1024*1024*1024)) mount img /mnt/f2fs ------------[ cut here ]------------ kernel BUG at fs/f2fs/segment.h:863! Oops: invalid opcode: 0000 [#1] SMP PTI CPU: 11 UID: 0 PID: 3922 Comm: mount Not tainted 6.15.0-rc1+ #191 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:f2fs_ra_meta_pages+0x47c/0x490 Call Trace: f2fs_build_segment_manager+0x11c3/0x2600 f2fs_fill_super+0xe97/0x2840 mount_bdev+0xf4/0x140 legacy_get_tree+0x2b/0x50 vfs_get_tree+0x29/0xd0 path_mount+0x487/0xaf0 __x64_sys_mount+0x116/0x150 do_syscall_64+0x82/0x190 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fdbfde1bcfe The reaseon is: sit_i->bitmap_size is 192, so size of sit bitmap is 192*8=1536, at maximum there are 1536 sit blocks, however MAIN_SEGS is 261893, so that sit_blk_cnt is 4762, build_sit_entries() -> current_sit_addr() tries to access out-of-boundary in sit_bitmap at offset from [1536, 4762), once sit_bitmap and sit_bitmap_mirror is not the same, it will trigger f2fs_bug_on(). Let's add sanity check in f2fs_sanity_check_ckpt() to avoid panic. Уязвимость компонента super.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью искажённого файла изображения [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: prevent kernel warning due to negative i_nlink from corrupted image WARNING: CPU: 1 PID: 9426 at fs/inode.c:417 drop_nlink+0xac/0xd0 home/cc/linux/fs/inode.c:417 Modules linked in: CPU: 1 UID: 0 PID: 9426 Comm: syz-executor568 Not tainted 6.14.0-12627-g94d471a4f428 #2 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 RIP: 0010:drop_nlink+0xac/0xd0 home/cc/linux/fs/inode.c:417 Code: 48 8b 5d 28 be 08 00 00 00 48 8d bb 70 07 00 00 e8 f9 67 e6 ff f0 48 ff 83 70 07 00 00 5b 5d e9 9a 12 82 ff e8 95 12 82 ff 90 &lt;0f&gt; 0b 90 c7 45 48 ff ff ff ff 5b 5d e9 83 12 82 ff e8 fe 5f e6 ff RSP: 0018:ffffc900026b7c28 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff8239710f RDX: ffff888041345a00 RSI: ffffffff8239717b RDI: 0000000000000005 RBP: ffff888054509ad0 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000000000000 R11: ffffffff9ab36f08 R12: ffff88804bb40000 R13: ffff8880545091e0 R14: 0000000000008000 R15: ffff8880545091e0 FS: 000055555d0c5880(0000) GS:ffff8880eb3e3000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f915c55b178 CR3: 0000000050d20000 CR4: 0000000000352ef0 Call Trace: <task> f2fs_i_links_write home/cc/linux/fs/f2fs/f2fs.h:3194 [inline] f2fs_drop_nlink+0xd1/0x3c0 home/cc/linux/fs/f2fs/dir.c:845 f2fs_delete_entry+0x542/0x1450 home/cc/linux/fs/f2fs/dir.c:909 f2fs_unlink+0x45c/0x890 home/cc/linux/fs/f2fs/namei.c:581 vfs_unlink+0x2fb/0x9b0 home/cc/linux/fs/namei.c:4544 do_unlinkat+0x4c5/0x6a0 home/cc/linux/fs/namei.c:4608 __do_sys_unlink home/cc/linux/fs/namei.c:4654 [inline] __se_sys_unlink home/cc/linux/fs/namei.c:4652 [inline] __x64_sys_unlink+0xc5/0x110 home/cc/linux/fs/namei.c:4652 do_syscall_x64 home/cc/linux/arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xc7/0x250 home/cc/linux/arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fb3d092324b Code: 73 01 c3 48 c7 c1 c0 ff ff ff f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa b8 57 00 00 00 0f 05 &lt;48&gt; 3d 01 f0 ff ff 73 01 c3 48 c7 c1 c0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffdc232d938 EFLAGS: 00000206 ORIG_RAX: 0000000000000057 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007fb3d092324b RDX: 00007ffdc232d960 RSI: 00007ffdc232d960 RDI: 00007ffdc232d9f0 RBP: 00007ffdc232d9f0 R08: 0000000000000001 R09: 00007ffdc232d7c0 R10: 00000000fffffffd R11: 0000000000000206 R12: 00007ffdc232eaf0 R13: 000055555d0cebb0 R14: 00007ffdc232d958 R15: 0000000000000001 </task> Уязвимость компонента namei.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого файла изображения [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: inline: fix len overflow in ext4_prepare_inline_data When running the following code on an ext4 filesystem with inline_data feature enabled, it will lead to the bug below. fd = open("file1", O_RDWR | O_CREAT | O_TRUNC, 0666); ftruncate(fd, 30); pwrite(fd, "a", 1, (1UL << 40) + 5UL); That happens because write_begin will succeed as when ext4_generic_write_inline_data calls ext4_prepare_inline_data, pos + len will be truncated, leading to ext4_prepare_inline_data parameter to be 6 instead of 0x10000000006. Then, later when write_end is called, we hit: BUG_ON(pos + len > EXT4_I(inode)->i_inline_size); at ext4_write_inline_data. Fix it by using a loff_t type for the len parameter in ext4_prepare_inline_data instead of an unsigned int. [ 44.545164] ------------[ cut here ]------------ [ 44.545530] kernel BUG at fs/ext4/inline.c:240! [ 44.545834] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 44.546172] CPU: 3 UID: 0 PID: 343 Comm: test Not tainted 6.15.0-rc2-00003-g9080916f4863 #45 PREEMPT(full) 112853fcebfdb93254270a7959841d2c6aa2c8bb [ 44.546523] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 44.546523] RIP: 0010:ext4_write_inline_data+0xfe/0x100 [ 44.546523] Code: 3c 0e 48 83 c7 48 48 89 de 5b 41 5c 41 5d 41 5e 41 5f 5d e9 e4 fa 43 01 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc cc 0f 0b <0f> 0b 0f 1f 44 00 00 55 41 57 41 56 41 55 41 54 53 48 83 ec 20 49 [ 44.546523] RSP: 0018:ffffb342008b79a8 EFLAGS: 00010216 [ 44.546523] RAX: 0000000000000001 RBX: ffff9329c579c000 RCX: 0000010000000006 [ 44.546523] RDX: 000000000000003c RSI: ffffb342008b79f0 RDI: ffff9329c158e738 [ 44.546523] RBP: 0000000000000001 R08: 0000000000000001 R09: 0000000000000000 [ 44.546523] R10: 00007ffffffff000 R11: ffffffff9bd0d910 R12: 0000006210000000 [ 44.546523] R13: fffffc7e4015e700 R14: 0000010000000005 R15: ffff9329c158e738 [ 44.546523] FS: 00007f4299934740(0000) GS:ffff932a60179000(0000) knlGS:0000000000000000 [ 44.546523] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 44.546523] CR2: 00007f4299a1ec90 CR3: 0000000002886002 CR4: 0000000000770eb0 [ 44.546523] PKRU: 55555554 [ 44.546523] Call Trace: [ 44.546523] <TASK> [ 44.546523] ext4_write_inline_data_end+0x126/0x2d0 [ 44.546523] generic_perform_write+0x17e/0x270 [ 44.546523] ext4_buffered_write_iter+0xc8/0x170 [ 44.546523] vfs_write+0x2be/0x3e0 [ 44.546523] __x64_sys_pwrite64+0x6d/0xc0 [ 44.546523] do_syscall_64+0x6a/0xf0 [ 44.546523] ? __wake_up+0x89/0xb0 [ 44.546523] ? xas_find+0x72/0x1c0 [ 44.546523] ? next_uptodate_folio+0x317/0x330 [ 44.546523] ? set_pte_range+0x1a6/0x270 [ 44.546523] ? filemap_map_pages+0x6ee/0x840 [ 44.546523] ? ext4_setattr+0x2fa/0x750 [ 44.546523] ? do_pte_missing+0x128/0xf70 [ 44.546523] ? security_inode_post_setattr+0x3e/0xd0 [ 44.546523] ? ___pte_offset_map+0x19/0x100 [ 44.546523] ? handle_mm_fault+0x721/0xa10 [ 44.546523] ? do_user_addr_fault+0x197/0x730 [ 44.546523] ? do_syscall_64+0x76/0xf0 [ 44.546523] ? arch_exit_to_user_mode_prepare+0x1e/0x60 [ 44.546523] ? irqentry_exit_to_user_mode+0x79/0x90 [ 44.546523] entry_SYSCALL_64_after_hwframe+0x55/0x5d [ 44.546523] RIP: 0033:0x7f42999c6687 [ 44.546523] Code: 48 89 fa 4c 89 df e8 58 b3 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 fa 08 75 de e8 23 ff ff ff [ 44.546523] RSP: 002b:00007ffeae4a7930 EFLAGS: 00000202 ORIG_RAX: 0000000000000012 [ 44.546523] RAX: ffffffffffffffda RBX: 00007f4299934740 RCX: 00007f42999c6687 [ 44.546523] RDX: 0000000000000001 RSI: 000055ea6149200f RDI: 0000000000000003 [ 44.546523] RBP: 00007ffeae4a79a0 R08: 0000000000000000 R09: 0000000000000000 [ 44.546523] R10: 0000010000000005 R11: 0000000000000202 R12: 0000 ---truncated--- Уязвимость компонента inline.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: imx-jpeg: Cleanup after an allocation error When allocation failures are not cleaned up by the driver, further allocation errors will be false-positives, which will cause buffers to remain uninitialized and cause NULL pointer dereferences. Ensure proper cleanup of failed allocations to prevent these issues. Уязвимость компонента mxc-jpeg.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: vivid: Change the siize of the composing syzkaller found a bug: BUG: KASAN: vmalloc-out-of-bounds in tpg_fill_plane_pattern drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2608 [inline] BUG: KASAN: vmalloc-out-of-bounds in tpg_fill_plane_buffer+0x1a9c/0x5af0 drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2705 Write of size 1440 at addr ffffc9000d0ffda0 by task vivid-000-vid-c/5304 CPU: 0 UID: 0 PID: 5304 Comm: vivid-000-vid-c Not tainted 6.14.0-rc2-syzkaller-00039-g09fbf3d50205 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 kasan_check_range+0x282/0x290 mm/kasan/generic.c:189 __asan_memcpy+0x40/0x70 mm/kasan/shadow.c:106 tpg_fill_plane_pattern drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2608 [inline] tpg_fill_plane_buffer+0x1a9c/0x5af0 drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2705 vivid_fillbuff drivers/media/test-drivers/vivid/vivid-kthread-cap.c:470 [inline] vivid_thread_vid_cap_tick+0xf8e/0x60d0 drivers/media/test-drivers/vivid/vivid-kthread-cap.c:629 vivid_thread_vid_cap+0x8aa/0xf30 drivers/media/test-drivers/vivid/vivid-kthread-cap.c:767 kthread+0x7a9/0x920 kernel/kthread.c:464 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> The composition size cannot be larger than the size of fmt_cap_rect. So execute v4l2_rect_map_inside() even if has_compose_cap == 0. Уязвимость компонента vivid-vid-cap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: vidtv: Terminating the subsequent process of initialization failure syzbot reported a slab-use-after-free Read in vidtv_mux_init. [1] After PSI initialization fails, the si member is accessed again, resulting in this uaf. After si initialization fails, the subsequent process needs to be exited. [1] BUG: KASAN: slab-use-after-free in vidtv_mux_pid_ctx_init drivers/media/test-drivers/vidtv/vidtv_mux.c:78 [inline] BUG: KASAN: slab-use-after-free in vidtv_mux_init+0xac2/0xbe0 drivers/media/test-drivers/vidtv/vidtv_mux.c:524 Read of size 8 at addr ffff88802fa42acc by task syz.2.37/6059 CPU: 0 UID: 0 PID: 6059 Comm: syz.2.37 Not tainted 6.14.0-rc5-syzkaller #0 Hardware name: Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xd9/0x110 mm/kasan/report.c:634 vidtv_mux_pid_ctx_init drivers/media/test-drivers/vidtv/vidtv_mux.c:78 vidtv_mux_init+0xac2/0xbe0 drivers/media/test-drivers/vidtv/vidtv_mux.c:524 vidtv_start_streaming drivers/media/test-drivers/vidtv/vidtv_bridge.c:194 vidtv_start_feed drivers/media/test-drivers/vidtv/vidtv_bridge.c:239 dmx_section_feed_start_filtering drivers/media/dvb-core/dvb_demux.c:973 dvb_dmxdev_feed_start drivers/media/dvb-core/dmxdev.c:508 [inline] dvb_dmxdev_feed_restart.isra.0 drivers/media/dvb-core/dmxdev.c:537 dvb_dmxdev_filter_stop+0x2b4/0x3a0 drivers/media/dvb-core/dmxdev.c:564 dvb_dmxdev_filter_free drivers/media/dvb-core/dmxdev.c:840 [inline] dvb_demux_release+0x92/0x550 drivers/media/dvb-core/dmxdev.c:1246 __fput+0x3ff/0xb70 fs/file_table.c:464 task_work_run+0x14e/0x250 kernel/task_work.c:227 exit_task_work include/linux/task_work.h:40 [inline] do_exit+0xad8/0x2d70 kernel/exit.c:938 do_group_exit+0xd3/0x2a0 kernel/exit.c:1087 __do_sys_exit_group kernel/exit.c:1098 [inline] __se_sys_exit_group kernel/exit.c:1096 [inline] __x64_sys_exit_group+0x3e/0x50 kernel/exit.c:1096 x64_sys_call+0x151f/0x1720 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f871d58d169 Code: Unable to access opcode bytes at 0x7f871d58d13f. RSP: 002b:00007fff4b19a788 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f871d58d169 RDX: 0000000000000064 RSI: 0000000000000000 RDI: 0000000000000000 RBP: 00007fff4b19a7ec R08: 0000000b4b19a87f R09: 00000000000927c0 R10: 0000000000000001 R11: 0000000000000246 R12: 0000000000000003 R13: 00000000000927c0 R14: 000000000001d553 R15: 00007fff4b19a840 </TASK> Allocated by task 6059: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:394 kmalloc_noprof include/linux/slab.h:901 [inline] kzalloc_noprof include/linux/slab.h:1037 [inline] vidtv_psi_pat_table_init drivers/media/test-drivers/vidtv/vidtv_psi.c:970 vidtv_channel_si_init drivers/media/test-drivers/vidtv/vidtv_channel.c:423 vidtv_mux_init drivers/media/test-drivers/vidtv/vidtv_mux.c:519 vidtv_start_streaming drivers/media/test-drivers/vidtv/vidtv_bridge.c:194 vidtv_start_feed drivers/media/test-drivers/vidtv/vidtv_bridge.c:239 dmx_section_feed_start_filtering drivers/media/dvb-core/dvb_demux.c:973 dvb_dmxdev_feed_start drivers/media/dvb-core/dmxdev.c:508 [inline] dvb_dmxdev_feed_restart.isra.0 drivers/media/dvb-core/dmxdev.c:537 dvb_dmxdev_filter_stop+0x2b4/0x3a0 drivers/media/dvb-core/dmxdev.c:564 dvb_dmxdev_filter_free drivers/media/dvb-core/dmxdev.c:840 [inline] dvb_demux_release+0x92/0x550 drivers/media/dvb-core/dmxdev.c:1246 __fput+0x3ff/0xb70 fs/file_tabl ---truncated--- Уязвимость компонента vidtv_channel.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: cxusb: no longer judge rbuf when the write fails syzbot reported a uninit-value in cxusb_i2c_xfer. [1] Only when the write operation of usb_bulk_msg() in dvb_usb_generic_rw() succeeds and rlen is greater than 0, the read operation of usb_bulk_msg() will be executed to read rlen bytes of data from the dvb device into the rbuf. In this case, although rlen is 1, the write operation failed which resulted in the dvb read operation not being executed, and ultimately variable i was not initialized. [1] BUG: KMSAN: uninit-value in cxusb_gpio_tuner drivers/media/usb/dvb-usb/cxusb.c:124 [inline] BUG: KMSAN: uninit-value in cxusb_i2c_xfer+0x153a/0x1a60 drivers/media/usb/dvb-usb/cxusb.c:196 cxusb_gpio_tuner drivers/media/usb/dvb-usb/cxusb.c:124 [inline] cxusb_i2c_xfer+0x153a/0x1a60 drivers/media/usb/dvb-usb/cxusb.c:196 __i2c_transfer+0xe25/0x3150 drivers/i2c/i2c-core-base.c:-1 i2c_transfer+0x317/0x4a0 drivers/i2c/i2c-core-base.c:2315 i2c_transfer_buffer_flags+0x125/0x1e0 drivers/i2c/i2c-core-base.c:2343 i2c_master_send include/linux/i2c.h:109 [inline] i2cdev_write+0x210/0x280 drivers/i2c/i2c-dev.c:183 do_loop_readv_writev fs/read_write.c:848 [inline] vfs_writev+0x963/0x14e0 fs/read_write.c:1057 do_writev+0x247/0x5c0 fs/read_write.c:1101 __do_sys_writev fs/read_write.c:1169 [inline] __se_sys_writev fs/read_write.c:1166 [inline] __x64_sys_writev+0x98/0xe0 fs/read_write.c:1166 x64_sys_call+0x2229/0x3c80 arch/x86/include/generated/asm/syscalls_64.h:21 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента cxusb.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: validate AG parameters in dbMount() to prevent crashes Validate db_agheight, db_agwidth, and db_agstart in dbMount to catch corrupted metadata early and avoid undefined behavior in dbAllocAG. Limits are derived from L2LPERCTL, LPERCTL/MAXAG, and CTLTREESIZE: - agheight: 0 to L2LPERCTL/2 (0 to 5) ensures shift (L2LPERCTL - 2*agheight) >= 0. - agwidth: 1 to min(LPERCTL/MAXAG, 2^(L2LPERCTL - 2*agheight)) ensures agperlev >= 1. - Ranges: 1-8 (agheight 0-3), 1-4 (agheight 4), 1 (agheight 5). - LPERCTL/MAXAG = 1024/128 = 8 limits leaves per AG; 2^(10 - 2*agheight) prevents division to 0. - agstart: 0 to CTLTREESIZE-1 - agwidth*(MAXAG-1) keeps ti within stree (size 1365). - Ranges: 0-1237 (agwidth 1), 0-348 (agwidth 8). UBSAN: shift-out-of-bounds in fs/jfs/jfs_dmap.c:1400:9 shift exponent -335544310 is negative CPU: 0 UID: 0 PID: 5822 Comm: syz-executor130 Not tainted 6.14.0-rc5-syzkaller #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_shift_out_of_bounds+0x3c8/0x420 lib/ubsan.c:468 dbAllocAG+0x1087/0x10b0 fs/jfs/jfs_dmap.c:1400 dbDiscardAG+0x352/0xa20 fs/jfs/jfs_dmap.c:1613 jfs_ioc_trim+0x45a/0x6b0 fs/jfs/jfs_discard.c:105 jfs_ioctl+0x2cd/0x3e0 fs/jfs/ioctl.c:131 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl+0xf5/0x170 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента jfs_dmap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: Initialize ssc before laundromat_work to prevent NULL dereference In nfs4_state_start_net(), laundromat_work may access nfsd_ssc through nfs4_laundromat -> nfsd4_ssc_expire_umount. If nfsd_ssc isn't initialized, this can cause NULL pointer dereference. Normally the delayed start of laundromat_work allows sufficient time for nfsd_ssc initialization to complete. However, when the kernel waits too long for userspace responses (e.g. in nfs4_state_start_net -> nfsd4_end_grace -> nfsd4_record_grace_done -> nfsd4_cld_grace_done -> cld_pipe_upcall -> __cld_pipe_upcall -> wait_for_completion path), the delayed work may start before nfsd_ssc initialization finishes. Fix this by moving nfsd_ssc initialization before starting laundromat_work. Уязвимость компонента nfssvc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Don't leave consecutive consumed OOB skbs. Jann Horn reported a use-after-free in unix_stream_read_generic(). The following sequences reproduce the issue: $ python3 from socket import * s1, s2 = socketpair(AF_UNIX, SOCK_STREAM) s1.send(b'x', MSG_OOB) s2.recv(1, MSG_OOB) # leave a consumed OOB skb s1.send(b'y', MSG_OOB) s2.recv(1, MSG_OOB) # leave a consumed OOB skb s1.send(b'z', MSG_OOB) s2.recv(1) # recv 'z' illegally s2.recv(1, MSG_OOB) # access 'z' skb (use-after-free) Even though a user reads OOB data, the skb holding the data stays on the recv queue to mark the OOB boundary and break the next recv(). After the last send() in the scenario above, the sk2's recv queue has 2 leading consumed OOB skbs and 1 real OOB skb. Then, the following happens during the next recv() without MSG_OOB 1. unix_stream_read_generic() peeks the first consumed OOB skb 2. manage_oob() returns the next consumed OOB skb 3. unix_stream_read_generic() fetches the next not-yet-consumed OOB skb 4. unix_stream_read_generic() reads and frees the OOB skb , and the last recv(MSG_OOB) triggers KASAN splat. The 3. above occurs because of the SO_PEEK_OFF code, which does not expect unix_skb_len(skb) to be 0, but this is true for such consumed OOB skbs. while (skip >= unix_skb_len(skb)) { skip -= unix_skb_len(skb); skb = skb_peek_next(skb, &sk->sk_receive_queue); ... } In addition to this use-after-free, there is another issue that ioctl(SIOCATMARK) does not function properly with consecutive consumed OOB skbs. So, nothing good comes out of such a situation. Instead of complicating manage_oob(), ioctl() handling, and the next ECONNRESET fix by introducing a loop for consecutive consumed OOB skbs, let's not leave such consecutive OOB unnecessarily. Now, while receiving an OOB skb in unix_stream_recv_urg(), if its previous skb is a consumed OOB skb, it is freed. [0]: BUG: KASAN: slab-use-after-free in unix_stream_read_actor (net/unix/af_unix.c:3027) Read of size 4 at addr ffff888106ef2904 by task python3/315 CPU: 2 UID: 0 PID: 315 Comm: python3 Not tainted 6.16.0-rc1-00407-gec315832f6f9 #8 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-4.fc42 04/01/2014 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:122) print_report (mm/kasan/report.c:409 mm/kasan/report.c:521) kasan_report (mm/kasan/report.c:636) unix_stream_read_actor (net/unix/af_unix.c:3027) unix_stream_read_generic (net/unix/af_unix.c:2708 net/unix/af_unix.c:2847) unix_stream_recvmsg (net/unix/af_unix.c:3048) sock_recvmsg (net/socket.c:1063 (discriminator 20) net/socket.c:1085 (discriminator 20)) __sys_recvfrom (net/socket.c:2278) __x64_sys_recvfrom (net/socket.c:2291 (discriminator 1) net/socket.c:2287 (discriminator 1) net/socket.c:2287 (discriminator 1)) do_syscall_64 (arch/x86/entry/syscall_64.c:63 (discriminator 1) arch/x86/entry/syscall_64.c:94 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f8911fcea06 Code: 5d e8 41 8b 93 08 03 00 00 59 5e 48 83 f8 fc 75 19 83 e2 39 83 fa 08 75 11 e8 26 ff ff ff 66 0f 1f 44 00 00 48 8b 45 10 0f 05 <48> 8b 5d f8 c9 c3 0f 1f 40 00 f3 0f 1e fa 55 48 89 e5 48 83 ec 08 RSP: 002b:00007fffdb0dccb0 EFLAGS: 00000202 ORIG_RAX: 000000000000002d RAX: ffffffffffffffda RBX: 00007fffdb0dcdc8 RCX: 00007f8911fcea06 RDX: 0000000000000001 RSI: 00007f8911a5e060 RDI: 0000000000000006 RBP: 00007fffdb0dccd0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000202 R12: 00007f89119a7d20 R13: ffffffffc4653600 R14: 0000000000000000 R15: 0000000000000000 </TASK> Allocated by task 315: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:60 (discriminator 1) mm/kasan/common.c:69 (discriminator 1)) __kasan_slab_alloc (mm/kasan/common.c:348) kmem_cache_alloc_ ---truncated--- Уязвимость функции unix_stream_read_generic() модуля net/unix/af_unix.c ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии, обойти существующие механизмы безопасности и выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: megaraid_sas: Fix invalid node index On a system with DRAM interleave enabled, out-of-bound access is detected: megaraid_sas 0000:3f:00.0: requested/available msix 128/128 poll_queue 0 ------------[ cut here ]------------ UBSAN: array-index-out-of-bounds in ./arch/x86/include/asm/topology.h:72:28 index -1 is out of range for type 'cpumask *[1024]' dump_stack_lvl+0x5d/0x80 ubsan_epilogue+0x5/0x2b __ubsan_handle_out_of_bounds.cold+0x46/0x4b megasas_alloc_irq_vectors+0x149/0x190 [megaraid_sas] megasas_probe_one.cold+0xa4d/0x189c [megaraid_sas] local_pci_probe+0x42/0x90 pci_device_probe+0xdc/0x290 really_probe+0xdb/0x340 __driver_probe_device+0x78/0x110 driver_probe_device+0x1f/0xa0 __driver_attach+0xba/0x1c0 bus_for_each_dev+0x8b/0xe0 bus_add_driver+0x142/0x220 driver_register+0x72/0xd0 megasas_init+0xdf/0xff0 [megaraid_sas] do_one_initcall+0x57/0x310 do_init_module+0x90/0x250 init_module_from_file+0x85/0xc0 idempotent_init_module+0x114/0x310 __x64_sys_finit_module+0x65/0xc0 do_syscall_64+0x82/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Fix it accordingly. Уязвимость компонента megaraid_sas_base.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: Release atm_dev_mutex after removing procfs in atm_dev_deregister(). syzbot reported a warning below during atm_dev_register(). [0] Before creating a new device and procfs/sysfs for it, atm_dev_register() looks up a duplicated device by __atm_dev_lookup(). These operations are done under atm_dev_mutex. However, when removing a device in atm_dev_deregister(), it releases the mutex just after removing the device from the list that __atm_dev_lookup() iterates over. So, there will be a small race window where the device does not exist on the device list but procfs/sysfs are still not removed, triggering the splat. Let's hold the mutex until procfs/sysfs are removed in atm_dev_deregister(). [0]: proc_dir_entry 'atm/atmtcp:0' already registered WARNING: CPU: 0 PID: 5919 at fs/proc/generic.c:377 proc_register+0x455/0x5f0 fs/proc/generic.c:377 Modules linked in: CPU: 0 UID: 0 PID: 5919 Comm: syz-executor284 Not tainted 6.16.0-rc2-syzkaller-00047-g52da431bf03b #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 RIP: 0010:proc_register+0x455/0x5f0 fs/proc/generic.c:377 Code: 48 89 f9 48 c1 e9 03 80 3c 01 00 0f 85 a2 01 00 00 48 8b 44 24 10 48 c7 c7 20 c0 c2 8b 48 8b b0 d8 00 00 00 e8 0c 02 1c ff 90 <0f> 0b 90 90 48 c7 c7 80 f2 82 8e e8 0b de 23 09 48 8b 4c 24 28 48 RSP: 0018:ffffc9000466fa30 EFLAGS: 00010282 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff817ae248 RDX: ffff888026280000 RSI: ffffffff817ae255 RDI: 0000000000000001 RBP: ffff8880232bed48 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000001 R12: ffff888076ed2140 R13: dffffc0000000000 R14: ffff888078a61340 R15: ffffed100edda444 FS: 00007f38b3b0c6c0(0000) GS:ffff888124753000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f38b3bdf953 CR3: 0000000076d58000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> proc_create_data+0xbe/0x110 fs/proc/generic.c:585 atm_proc_dev_register+0x112/0x1e0 net/atm/proc.c:361 atm_dev_register+0x46d/0x890 net/atm/resources.c:113 atmtcp_create+0x77/0x210 drivers/atm/atmtcp.c:369 atmtcp_attach drivers/atm/atmtcp.c:403 [inline] atmtcp_ioctl+0x2f9/0xd60 drivers/atm/atmtcp.c:464 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x115/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18b/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f38b3b74459 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 51 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f38b3b0c198 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007f38b3bfe318 RCX: 00007f38b3b74459 RDX: 0000000000000000 RSI: 0000000000006180 RDI: 0000000000000005 RBP: 00007f38b3bfe310 R08: 65732f636f72702f R09: 65732f636f72702f R10: 65732f636f72702f R11: 0000000000000246 R12: 00007f38b3bcb0ac R13: 00007f38b3b0c1a0 R14: 0000200000000200 R15: 00007f38b3bcb03b </TASK> Уязвимость функции atm_dev_deregister() (net/atm/resources.c) операционных систем Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix out-of-bounds read in snd_usb_get_audioformat_uac3() In snd_usb_get_audioformat_uac3(), the length value returned from snd_usb_ctl_msg() is used directly for memory allocation without validation. This length is controlled by the USB device. The allocated buffer is cast to a uac3_cluster_header_descriptor and its fields are accessed without verifying that the buffer is large enough. If the device returns a smaller than expected length, this leads to an out-of-bounds read. Add a length check to ensure the buffer is large enough for uac3_cluster_header_descriptor. Уязвимость функции snd_usb_get_audioformat_uac3() (sound/usb/stream.c) ядра операционных систем Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: clip: prevent NULL deref in clip_push() Blamed commit missed that vcc_destroy_socket() calls clip_push() with a NULL skb. If clip_devs is NULL, clip_push() then crashes when reading skb->truesize. Уязвимость компонента tls_sw.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/pkey: Prevent overflow in size calculation for memdup_user() Number of apqn target list entries contained in 'nr_apqns' variable is determined by userspace via an ioctl call so the result of the product in calculation of size passed to memdup_user() may overflow. In this case the actual size of the allocated area and the value describing it won't be in sync leading to various types of unpredictable behaviour later. Use a proper memdup_array_user() helper which returns an error if an overflow is detected. Note that it is different from when nr_apqns is initially zero - that case is considered valid and should be handled in subsequent pkey_handler implementations. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента pkey_api.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: codecs: wcd9335: Fix missing free of regulator supplies Driver gets and enables all regulator supplies in probe path (wcd9335_parse_dt() and wcd9335_power_on_reset()), but does not cleanup in final error paths and in unbind (missing remove() callback). This leads to leaked memory and unbalanced regulator enable count during probe errors or unbind. Fix this by converting entire code into devm_regulator_bulk_get_enable() which also greatly simplifies the code. Уязвимость компонента wcd9335.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: handle csum tree error with rescue=ibadroots correctly [BUG] There is syzbot based reproducer that can crash the kernel, with the following call trace: (With some debug output added) DEBUG: rescue=ibadroots parsed BTRFS: device fsid 14d642db-7b15-43e4-81e6-4b8fac6a25f8 devid 1 transid 8 /dev/loop0 (7:0) scanned by repro (1010) BTRFS info (device loop0): first mount of filesystem 14d642db-7b15-43e4-81e6-4b8fac6a25f8 BTRFS info (device loop0): using blake2b (blake2b-256-generic) checksum algorithm BTRFS info (device loop0): using free-space-tree BTRFS warning (device loop0): checksum verify failed on logical 5312512 mirror 1 wanted 0xb043382657aede36608fd3386d6b001692ff406164733d94e2d9a180412c6003 found 0x810ceb2bacb7f0f9eb2bf3b2b15c02af867cb35ad450898169f3b1f0bd818651 level 0 DEBUG: read tree root path failed for tree csum, ret=-5 BTRFS warning (device loop0): checksum verify failed on logical 5328896 mirror 1 wanted 0x51be4e8b303da58e6340226815b70e3a93592dac3f30dd510c7517454de8567a found 0x51be4e8b303da58e634022a315b70e3a93592dac3f30dd510c7517454de8567a level 0 BTRFS warning (device loop0): checksum verify failed on logical 5292032 mirror 1 wanted 0x1924ccd683be9efc2fa98582ef58760e3848e9043db8649ee382681e220cdee4 found 0x0cb6184f6e8799d9f8cb335dccd1d1832da1071d12290dab3b85b587ecacca6e level 0 process 'repro' launched './file2' with NULL argv: empty string added DEBUG: no csum root, idatacsums=0 ibadroots=134217728 Oops: general protection fault, probably for non-canonical address 0xdffffc0000000041: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000208-0x000000000000020f] CPU: 5 UID: 0 PID: 1010 Comm: repro Tainted: G OE 6.15.0-custom+ #249 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS unknown 02/02/2022 RIP: 0010:btrfs_lookup_csum+0x93/0x3d0 [btrfs] Call Trace: <TASK> btrfs_lookup_bio_sums+0x47a/0xdf0 [btrfs] btrfs_submit_bbio+0x43e/0x1a80 [btrfs] submit_one_bio+0xde/0x160 [btrfs] btrfs_readahead+0x498/0x6a0 [btrfs] read_pages+0x1c3/0xb20 page_cache_ra_order+0x4b5/0xc20 filemap_get_pages+0x2d3/0x19e0 filemap_read+0x314/0xde0 __kernel_read+0x35b/0x900 bprm_execve+0x62e/0x1140 do_execveat_common.isra.0+0x3fc/0x520 __x64_sys_execveat+0xdc/0x130 do_syscall_64+0x54/0x1d0 entry_SYSCALL_64_after_hwframe+0x76/0x7e ---[ end trace 0000000000000000 ]--- [CAUSE] Firstly the fs has a corrupted csum tree root, thus to mount the fs we have to go "ro,rescue=ibadroots" mount option. Normally with that mount option, a bad csum tree root should set BTRFS_FS_STATE_NO_DATA_CSUMS flag, so that any future data read will ignore csum search. But in this particular case, we have the following call trace that caused NULL csum root, but not setting BTRFS_FS_STATE_NO_DATA_CSUMS: load_global_roots_objectid(): ret = btrfs_search_slot(); /* Succeeded */ btrfs_item_key_to_cpu() found = true; /* We found the root item for csum tree. */ root = read_tree_root_path(); if (IS_ERR(root)) { if (!btrfs_test_opt(fs_info, IGNOREBADROOTS)) /* * Since we have rescue=ibadroots mount option, * @ret is still 0. */ break; if (!found || ret) { /* @found is true, @ret is 0, error handling for csum * tree is skipped. */ } This means we completely skipped to set BTRFS_FS_STATE_NO_DATA_CSUMS if the csum tree is corrupted, which results unexpected later csum lookup. [FIX] If read_tree_root_path() failed, always populate @ret to the error number. As at the end of the function, we need @ret to determine if we need to do the extra error handling for csum tree. Уязвимость компонента disk-io.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tty: serial: uartlite: register uart driver in init When two instances of uart devices are probing, a concurrency race can occur. If one thread calls uart_register_driver function, which first allocates and assigns memory to 'uart_state' member of uart_driver structure, the other instance can bypass uart driver registration and call ulite_assign. This calls uart_add_one_port, which expects the uart driver to be fully initialized. This leads to a kernel panic due to a null pointer dereference: [ 8.143581] BUG: kernel NULL pointer dereference, address: 00000000000002b8 [ 8.156982] #PF: supervisor write access in kernel mode [ 8.156984] #PF: error_code(0x0002) - not-present page [ 8.156986] PGD 0 P4D 0 ... [ 8.180668] RIP: 0010:mutex_lock+0x19/0x30 [ 8.188624] Call Trace: [ 8.188629] ? __die_body.cold+0x1a/0x1f [ 8.195260] ? page_fault_oops+0x15c/0x290 [ 8.209183] ? __irq_resolve_mapping+0x47/0x80 [ 8.209187] ? exc_page_fault+0x64/0x140 [ 8.209190] ? asm_exc_page_fault+0x22/0x30 [ 8.209196] ? mutex_lock+0x19/0x30 [ 8.223116] uart_add_one_port+0x60/0x440 [ 8.223122] ? proc_tty_register_driver+0x43/0x50 [ 8.223126] ? tty_register_driver+0x1ca/0x1e0 [ 8.246250] ulite_probe+0x357/0x4b0 [uartlite] To prevent it, move uart driver registration in to init function. This will ensure that uart_driver is always registered when probe function is called. Уязвимость компонента uartlite.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bcache: fix NULL pointer in cache_set_flush() 1. LINE#1794 - LINE#1887 is some codes about function of bch_cache_set_alloc(). 2. LINE#2078 - LINE#2142 is some codes about function of register_cache_set(). 3. register_cache_set() will call bch_cache_set_alloc() in LINE#2098. 1794 struct cache_set *bch_cache_set_alloc(struct cache_sb *sb) 1795 { ... 1860 if (!(c->devices = kcalloc(c->nr_uuids, sizeof(void *), GFP_KERNEL)) || 1861 mempool_init_slab_pool(&c->search, 32, bch_search_cache) || 1862 mempool_init_kmalloc_pool(&c->bio_meta, 2, 1863 sizeof(struct bbio) + sizeof(struct bio_vec) * 1864 bucket_pages(c)) || 1865 mempool_init_kmalloc_pool(&c->fill_iter, 1, iter_size) || 1866 bioset_init(&c->bio_split, 4, offsetof(struct bbio, bio), 1867 BIOSET_NEED_BVECS|BIOSET_NEED_RESCUER) || 1868 !(c->uuids = alloc_bucket_pages(GFP_KERNEL, c)) || 1869 !(c->moving_gc_wq = alloc_workqueue("bcache_gc", 1870 WQ_MEM_RECLAIM, 0)) || 1871 bch_journal_alloc(c) || 1872 bch_btree_cache_alloc(c) || 1873 bch_open_buckets_alloc(c) || 1874 bch_bset_sort_state_init(&c->sort, ilog2(c->btree_pages))) 1875 goto err; ^^^^^^^^ 1876 ... 1883 return c; 1884 err: 1885 bch_cache_set_unregister(c); ^^^^^^^^^^^^^^^^^^^^^^^^^^^ 1886 return NULL; 1887 } ... 2078 static const char *register_cache_set(struct cache *ca) 2079 { ... 2098 c = bch_cache_set_alloc(&ca->sb); 2099 if (!c) 2100 return err; ^^^^^^^^^^ ... 2128 ca->set = c; 2129 ca->set->cache[ca->sb.nr_this_dev] = ca; ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ ... 2138 return NULL; 2139 err: 2140 bch_cache_set_unregister(c); 2141 return err; 2142 } (1) If LINE#1860 - LINE#1874 is true, then do 'goto err'(LINE#1875) and call bch_cache_set_unregister()(LINE#1885). (2) As (1) return NULL(LINE#1886), LINE#2098 - LINE#2100 would return. (3) As (2) has returned, LINE#2128 - LINE#2129 would do *not* give the value to c->cache[], it means that c->cache[] is NULL. LINE#1624 - LINE#1665 is some codes about function of cache_set_flush(). As (1), in LINE#1885 call bch_cache_set_unregister() ---> bch_cache_set_stop() ---> closure_queue() -.-> cache_set_flush() (as below LINE#1624) 1624 static void cache_set_flush(struct closure *cl) 1625 { ... 1654 for_each_cache(ca, c, i) 1655 if (ca->alloc_thread) ^^ 1656 kthread_stop(ca->alloc_thread); ... 1665 } (4) In LINE#1655 ca is NULL(see (3)) in cache_set_flush() then the kernel crash occurred as below: [ 846.712887] bcache: register_cache() error drbd6: cannot allocate memory [ 846.713242] bcache: register_bcache() error : failed to register device [ 846.713336] bcache: cache_set_free() Cache set 2f84bdc1-498a-4f2f-98a7-01946bf54287 unregistered [ 846.713768] BUG: unable to handle kernel NULL pointer dereference at 00000000000009f8 [ 846.714790] PGD 0 P4D 0 [ 846.715129] Oops: 0000 [#1] SMP PTI [ 846.715472] CPU: 19 PID: 5057 Comm: kworker/19:16 Kdump: loaded Tainted: G OE --------- - - 4.18.0-147.5.1.el8_1.5es.3.x86_64 #1 [ 846.716082] Hardware name: ESPAN GI-25212/X11DPL-i, BIOS 2.1 06/15/2018 [ 846.716451] Workqueue: events cache_set_flush [bcache] [ 846.716808] RIP: 0010:cache_set_flush+0xc9/0x1b0 [bcache] [ 846.717155] Code: 00 4c 89 a5 b0 03 00 00 48 8b 85 68 f6 ff ff a8 08 0f 84 88 00 00 00 31 db 66 83 bd 3c f7 ff ff 00 48 8b 85 48 ff ff ff 74 28 <48> 8b b8 f8 09 00 0 ---truncated--- Уязвимость компонента super.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: tipc: fix refcount warning in tipc_aead_encrypt syzbot reported a refcount warning [1] caused by calling get_net() on a network namespace that is being destroyed (refcount=0). This happens when a TIPC discovery timer fires during network namespace cleanup. The recently added get_net() call in commit e279024617134 ("net/tipc: fix slab-use-after-free Read in tipc_aead_encrypt_done") attempts to hold a reference to the network namespace. However, if the namespace is already being destroyed, its refcount might be zero, leading to the use-after-free warning. Replace get_net() with maybe_get_net(), which safely checks if the refcount is non-zero before incrementing it. If the namespace is being destroyed, return -ENODEV early, after releasing the bearer reference. [1]: https://lore.kernel.org/all/68342b55.a70a0220.253bc2.0091.GAE@google.com/T/#m12019cf9ae77e1954f666914640efa36d52704a2 Уязвимость функции get_net() компонента net ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phy: qcom-qmp-usb: Fix an NULL vs IS_ERR() bug The qmp_usb_iomap() helper function currently returns the raw result of devm_ioremap() for non-exclusive mappings. Since devm_ioremap() may return a NULL pointer and the caller only checks error pointers with IS_ERR(), NULL could bypass the check and lead to an invalid dereference. Fix the issue by checking if devm_ioremap() returns NULL. When it does, qmp_usb_iomap() now returns an error pointer via IOMEM_ERR_PTR(-ENOMEM), ensuring safe and consistent error handling. Уязвимость компонента phy ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: nand: ecc-mxic: Fix use of uninitialized variable ret If ctx->steps is zero, the loop processing ECC steps is skipped, and the variable ret remains uninitialized. It is later checked and returned, which leads to undefined behavior and may cause unpredictable results in user space or kernel crashes. This scenario can be triggered in edge cases such as misconfigured geometry, ECC engine misuse, or if ctx->steps is not validated after initialization. Initialize ret to zero before the loop to ensure correct and safe behavior regardless of the ctx->steps value. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента mtd ядра операционной системы Linux связана с неправильной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Avoid __bpf_prog_ret0_warn when jit fails syzkaller reported an issue: WARNING: CPU: 3 PID: 217 at kernel/bpf/core.c:2357 __bpf_prog_ret0_warn+0xa/0x20 kernel/bpf/core.c:2357 Modules linked in: CPU: 3 UID: 0 PID: 217 Comm: kworker/u32:6 Not tainted 6.15.0-rc4-syzkaller-00040-g8bac8898fe39 RIP: 0010:__bpf_prog_ret0_warn+0xa/0x20 kernel/bpf/core.c:2357 Call Trace: <TASK> bpf_dispatcher_nop_func include/linux/bpf.h:1316 [inline] __bpf_prog_run include/linux/filter.h:718 [inline] bpf_prog_run include/linux/filter.h:725 [inline] cls_bpf_classify+0x74a/0x1110 net/sched/cls_bpf.c:105 ... When creating bpf program, 'fp->jit_requested' depends on bpf_jit_enable. This issue is triggered because of CONFIG_BPF_JIT_ALWAYS_ON is not set and bpf_jit_enable is set to 1, causing the arch to attempt JIT the prog, but jit failed due to FAULT_INJECTION. As a result, incorrectly treats the program as valid, when the program runs it calls `__bpf_prog_ret0_warn` and triggers the WARN_ON_ONCE(1). Уязвимость функции bpf_prog_select_runtime() файла kernel/bpf/core.c ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kernfs: Relax constraint in draining guard The active reference lifecycle provides the break/unbreak mechanism but the active reference is not truly active after unbreak -- callers don't use it afterwards but it's important for proper pairing of kn->active counting. Assuming this mechanism is in place, the WARN check in kernfs_should_drain_open_files() is too sensitive -- it may transiently catch those (rightful) callers between kernfs_unbreak_active_protection() and kernfs_put_active() as found out by Chen Ridong: kernfs_remove_by_name_ns kernfs_get_active // active=1 __kernfs_remove // active=0x80000002 kernfs_drain ... wait_event //waiting (active == 0x80000001) kernfs_break_active_protection // active = 0x80000001 // continue kernfs_unbreak_active_protection // active = 0x80000002 ... kernfs_should_drain_open_files // warning occurs kernfs_put_active To avoid the false positives (mind panic_on_warn) remove the check altogether. (This is meant as quick fix, I think active reference break/unbreak may be simplified with larger rework.) Уязвимость функции kernfs_should_drain_open_files() компонента kernfs ядра операционной системы Linux связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix WARN() in get_bpf_raw_tp_regs syzkaller reported an issue: WARNING: CPU: 3 PID: 5971 at kernel/trace/bpf_trace.c:1861 get_bpf_raw_tp_regs+0xa4/0x100 kernel/trace/bpf_trace.c:1861 Modules linked in: CPU: 3 UID: 0 PID: 5971 Comm: syz-executor205 Not tainted 6.15.0-rc5-syzkaller-00038-g707df3375124 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:get_bpf_raw_tp_regs+0xa4/0x100 kernel/trace/bpf_trace.c:1861 RSP: 0018:ffffc90003636fa8 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000003 RCX: ffffffff81c6bc4c RDX: ffff888032efc880 RSI: ffffffff81c6bc83 RDI: 0000000000000005 RBP: ffff88806a730860 R08: 0000000000000005 R09: 0000000000000003 R10: 0000000000000004 R11: 0000000000000000 R12: 0000000000000004 R13: 0000000000000001 R14: ffffc90003637008 R15: 0000000000000900 FS: 0000000000000000(0000) GS:ffff8880d6cdf000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f7baee09130 CR3: 0000000029f5a000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ____bpf_get_stack_raw_tp kernel/trace/bpf_trace.c:1934 [inline] bpf_get_stack_raw_tp+0x24/0x160 kernel/trace/bpf_trace.c:1931 bpf_prog_ec3b2eefa702d8d3+0x43/0x47 bpf_dispatcher_nop_func include/linux/bpf.h:1316 [inline] __bpf_prog_run include/linux/filter.h:718 [inline] bpf_prog_run include/linux/filter.h:725 [inline] __bpf_trace_run kernel/trace/bpf_trace.c:2363 [inline] bpf_trace_run3+0x23f/0x5a0 kernel/trace/bpf_trace.c:2405 __bpf_trace_mmap_lock_acquire_returned+0xfc/0x140 include/trace/events/mmap_lock.h:47 __traceiter_mmap_lock_acquire_returned+0x79/0xc0 include/trace/events/mmap_lock.h:47 __do_trace_mmap_lock_acquire_returned include/trace/events/mmap_lock.h:47 [inline] trace_mmap_lock_acquire_returned include/trace/events/mmap_lock.h:47 [inline] __mmap_lock_do_trace_acquire_returned+0x138/0x1f0 mm/mmap_lock.c:35 __mmap_lock_trace_acquire_returned include/linux/mmap_lock.h:36 [inline] mmap_read_trylock include/linux/mmap_lock.h:204 [inline] stack_map_get_build_id_offset+0x535/0x6f0 kernel/bpf/stackmap.c:157 __bpf_get_stack+0x307/0xa10 kernel/bpf/stackmap.c:483 ____bpf_get_stack kernel/bpf/stackmap.c:499 [inline] bpf_get_stack+0x32/0x40 kernel/bpf/stackmap.c:496 ____bpf_get_stack_raw_tp kernel/trace/bpf_trace.c:1941 [inline] bpf_get_stack_raw_tp+0x124/0x160 kernel/trace/bpf_trace.c:1931 bpf_prog_ec3b2eefa702d8d3+0x43/0x47 Tracepoint like trace_mmap_lock_acquire_returned may cause nested call as the corner case show above, which will be resolved with more general method in the future. As a result, WARN_ON_ONCE will be triggered. As Alexei suggested, remove the WARN_ON_ONCE first. Уязвимость модуля kernel/trace/bpf_trace.c подсистемы BPF ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: at91: Fix possible out-of-boundary access at91_gpio_probe() doesn't check that given OF alias is not available or something went wrong when trying to get it. This might have consequences when accessing gpio_chips array with that value as an index. Note, that BUG() can be compiled out and hence won't actually perform the required checks. Уязвимость функции at91_gpio_probe() файла drivers/pinctrl/pinctrl-at91.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix node corruption in ar->arvifs list In current WLAN recovery code flow, ath11k_core_halt() only reinitializes the "arvifs" list head. This will cause the list node immediately following the list head to become an invalid list node. Because the prev of that node still points to the list head "arvifs", but the next of the list head "arvifs" no longer points to that list node. When a WLAN recovery occurs during the execution of a vif removal, and it happens before the spin_lock_bh(&ar->data_lock) in ath11k_mac_op_remove_interface(), list_del() will detect the previously mentioned situation, thereby triggering a kernel panic. The fix is to remove and reinitialize all vif list nodes from the list head "arvifs" during WLAN halt. The reinitialization is to make the list nodes valid, ensuring that the list_del() in ath11k_mac_op_remove_interface() can execute normally. Call trace: __list_del_entry_valid_or_report+0xb8/0xd0 ath11k_mac_op_remove_interface+0xb0/0x27c [ath11k] drv_remove_interface+0x48/0x194 [mac80211] ieee80211_do_stop+0x6e0/0x844 [mac80211] ieee80211_stop+0x44/0x17c [mac80211] __dev_close_many+0xac/0x150 __dev_change_flags+0x194/0x234 dev_change_flags+0x24/0x6c devinet_ioctl+0x3a0/0x670 inet_ioctl+0x200/0x248 sock_do_ioctl+0x60/0x118 sock_ioctl+0x274/0x35c __arm64_sys_ioctl+0xac/0xf0 invoke_syscall+0x48/0x114 ... Tested-on: QCA6698AQ hw2.1 PCI WLAN.HSP.1.1-04591-QCAHSPSWPL_V1_V2_SILICONZ_IOE-1 Уязвимость функции ath11k_core_halt() модуля drivers/net/wireless/ath/ath11k/core.c ядра операционной системы Linux связана с повреждением узла в списке arvifs в результате некорректной инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: EDAC/skx_common: Fix general protection fault After loading i10nm_edac (which automatically loads skx_edac_common), if unload only i10nm_edac, then reload it and perform error injection testing, a general protection fault may occur: mce: [Hardware Error]: Machine check events logged Oops: general protection fault ... ... Workqueue: events mce_gen_pool_process RIP: 0010:string+0x53/0xe0 ... Call Trace: <TASK> ? die_addr+0x37/0x90 ? exc_general_protection+0x1e7/0x3f0 ? asm_exc_general_protection+0x26/0x30 ? string+0x53/0xe0 vsnprintf+0x23e/0x4c0 snprintf+0x4d/0x70 skx_adxl_decode+0x16a/0x330 [skx_edac_common] skx_mce_check_error.part.0+0xf8/0x220 [skx_edac_common] skx_mce_check_error+0x17/0x20 [skx_edac_common] ... The issue arose was because the variable 'adxl_component_count' (inside skx_edac_common), which counts the ADXL components, was not reset. During the reloading of i10nm_edac, the count was incremented by the actual number of ADXL components again, resulting in a count that was double the real number of ADXL components. This led to an out-of-bounds reference to the ADXL component array, causing the general protection fault above. Fix this issue by resetting the 'adxl_component_count' in adxl_put(), which is called during the unloading of {skx,i10nm}_edac. Уязвимость компонента skx_common.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: sun8i-ce-cipher - fix error handling in sun8i_ce_cipher_prepare() Fix two DMA cleanup issues on the error path in sun8i_ce_cipher_prepare(): 1] If dma_map_sg() fails for areq->dst, the device driver would try to free DMA memory it has not allocated in the first place. To fix this, on the "theend_sgs" error path, call dma unmap only if the corresponding dma map was successful. 2] If the dma_map_single() call for the IV fails, the device driver would try to free an invalid DMA memory address on the "theend_iv" path: ------------[ cut here ]------------ DMA-API: sun8i-ce 1904000.crypto: device driver tries to free an invalid DMA memory address WARNING: CPU: 2 PID: 69 at kernel/dma/debug.c:968 check_unmap+0x123c/0x1b90 Modules linked in: skcipher_example(O+) CPU: 2 UID: 0 PID: 69 Comm: 1904000.crypto- Tainted: G O 6.15.0-rc3+ #24 PREEMPT Tainted: [O]=OOT_MODULE Hardware name: OrangePi Zero2 (DT) pc : check_unmap+0x123c/0x1b90 lr : check_unmap+0x123c/0x1b90 ... Call trace: check_unmap+0x123c/0x1b90 (P) debug_dma_unmap_page+0xac/0xc0 dma_unmap_page_attrs+0x1f4/0x5fc sun8i_ce_cipher_do_one+0x1bd4/0x1f40 crypto_pump_work+0x334/0x6e0 kthread_worker_fn+0x21c/0x438 kthread+0x374/0x664 ret_from_fork+0x10/0x20 ---[ end trace 0000000000000000 ]--- To fix this, check for !dma_mapping_error() before calling dma_unmap_single() on the "theend_iv" path. Уязвимость функции sun8i_ce_cipher_prepare() модуля drivers/crypto/allwinner/sun8i-ce/sun8i-ce-cipher.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix NULL pointer deference on eir_get_service_data The len parameter is considered optional so it can be NULL so it cannot be used for skipping to next entry of EIR_SERVICE_DATA. Уязвимость функции eir_get_service_data() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ptp: remove ptp->n_vclocks check logic in ptp_vclock_in_use() There is no disagreement that we should check both ptp->is_virtual_clock and ptp->n_vclocks to check if the ptp virtual clock is in use. However, when we acquire ptp->n_vclocks_mux to read ptp->n_vclocks in ptp_vclock_in_use(), we observe a recursive lock in the call trace starting from n_vclocks_store(). ============================================ WARNING: possible recursive locking detected 6.15.0-rc6 #1 Not tainted -------------------------------------------- syz.0.1540/13807 is trying to acquire lock: ffff888035a24868 (&ptp->n_vclocks_mux){+.+.}-{4:4}, at: ptp_vclock_in_use drivers/ptp/ptp_private.h:103 [inline] ffff888035a24868 (&ptp->n_vclocks_mux){+.+.}-{4:4}, at: ptp_clock_unregister+0x21/0x250 drivers/ptp/ptp_clock.c:415 but task is already holding lock: ffff888030704868 (&ptp->n_vclocks_mux){+.+.}-{4:4}, at: n_vclocks_store+0xf1/0x6d0 drivers/ptp/ptp_sysfs.c:215 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&ptp->n_vclocks_mux); lock(&ptp->n_vclocks_mux); *** DEADLOCK *** .... ============================================ The best way to solve this is to remove the logic that checks ptp->n_vclocks in ptp_vclock_in_use(). The reason why this is appropriate is that any path that uses ptp->n_vclocks must unconditionally check if ptp->n_vclocks is greater than 0 before unregistering vclocks, and all functions are already written this way. And in the function that uses ptp->n_vclocks, we already get ptp->n_vclocks_mux before unregistering vclocks. Therefore, we need to remove the redundant check for ptp->n_vclocks in ptp_vclock_in_use() to prevent recursive locking. Уязвимость компонента ptp_private.h ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: seg6: Fix validation of nexthop addresses The kernel currently validates that the length of the provided nexthop address does not exceed the specified length. This can lead to the kernel reading uninitialized memory if user space provided a shorter length than the specified one. Fix by validating that the provided length exactly matches the specified one. Уязвимость компонента seg6 ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: core: fbcvt: avoid division by 0 in fb_cvt_hperiod() In fb_find_mode_cvt(), iff mode->refresh somehow happens to be 0x80000000, cvt.f_refresh will become 0 when multiplying it by 2 due to overflow. It's then passed to fb_cvt_hperiod(), where it's used as a divider -- division by 0 will result in kernel oops. Add a sanity check for cvt.f_refresh to avoid such overflow... Found by Linux Verification Center (linuxtesting.org) with the Svace static analysis tool. Уязвимость функции fb_cvt_hperiod() компонента fbdev ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: fsl-mc: fix double-free on mc_dev The blamed commit tried to simplify how the deallocations are done but, in the process, introduced a double-free on the mc_dev variable. In case the MC device is a DPRC, a new mc_bus is allocated and the mc_dev variable is just a reference to one of its fields. In this circumstance, on the error path only the mc_bus should be freed. This commit introduces back the following checkpatch warning which is a false-positive. WARNING: kfree(NULL) is safe and this check is probably not required + if (mc_bus) + kfree(mc_bus); Уязвимость компонента bus ядра операционной системы Linux связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pp: Fix potential NULL pointer dereference in atomctrl_initialize_mc_reg_table The function atomctrl_initialize_mc_reg_table() and atomctrl_initialize_mc_reg_table_v2_2() does not check the return value of smu_atom_get_data_table(). If smu_atom_get_data_table() fails to retrieve vram_info, it returns NULL which is later dereferenced. Уязвимость функции atomctrl_initialize_mc_reg_table() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/ptrace: Fix stack-out-of-bounds read in regs_get_kernel_stack_nth() KASAN reports a stack-out-of-bounds read in regs_get_kernel_stack_nth(). Call Trace: [ 97.283505] BUG: KASAN: stack-out-of-bounds in regs_get_kernel_stack_nth+0xa8/0xc8 [ 97.284677] Read of size 8 at addr ffff800089277c10 by task 1.sh/2550 [ 97.285732] [ 97.286067] CPU: 7 PID: 2550 Comm: 1.sh Not tainted 6.6.0+ #11 [ 97.287032] Hardware name: linux,dummy-virt (DT) [ 97.287815] Call trace: [ 97.288279] dump_backtrace+0xa0/0x128 [ 97.288946] show_stack+0x20/0x38 [ 97.289551] dump_stack_lvl+0x78/0xc8 [ 97.290203] print_address_description.constprop.0+0x84/0x3c8 [ 97.291159] print_report+0xb0/0x280 [ 97.291792] kasan_report+0x84/0xd0 [ 97.292421] __asan_load8+0x9c/0xc0 [ 97.293042] regs_get_kernel_stack_nth+0xa8/0xc8 [ 97.293835] process_fetch_insn+0x770/0xa30 [ 97.294562] kprobe_trace_func+0x254/0x3b0 [ 97.295271] kprobe_dispatcher+0x98/0xe0 [ 97.295955] kprobe_breakpoint_handler+0x1b0/0x210 [ 97.296774] call_break_hook+0xc4/0x100 [ 97.297451] brk_handler+0x24/0x78 [ 97.298073] do_debug_exception+0xac/0x178 [ 97.298785] el1_dbg+0x70/0x90 [ 97.299344] el1h_64_sync_handler+0xcc/0xe8 [ 97.300066] el1h_64_sync+0x78/0x80 [ 97.300699] kernel_clone+0x0/0x500 [ 97.301331] __arm64_sys_clone+0x70/0x90 [ 97.302084] invoke_syscall+0x68/0x198 [ 97.302746] el0_svc_common.constprop.0+0x11c/0x150 [ 97.303569] do_el0_svc+0x38/0x50 [ 97.304164] el0_svc+0x44/0x1d8 [ 97.304749] el0t_64_sync_handler+0x100/0x130 [ 97.305500] el0t_64_sync+0x188/0x190 [ 97.306151] [ 97.306475] The buggy address belongs to stack of task 1.sh/2550 [ 97.307461] and is located at offset 0 in frame: [ 97.308257] __se_sys_clone+0x0/0x138 [ 97.308910] [ 97.309241] This frame has 1 object: [ 97.309873] [48, 184) 'args' [ 97.309876] [ 97.310749] The buggy address belongs to the virtual mapping at [ 97.310749] [ffff800089270000, ffff800089279000) created by: [ 97.310749] dup_task_struct+0xc0/0x2e8 [ 97.313347] [ 97.313674] The buggy address belongs to the physical page: [ 97.314604] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x14f69a [ 97.315885] flags: 0x15ffffe00000000(node=1|zone=2|lastcpupid=0xfffff) [ 97.316957] raw: 015ffffe00000000 0000000000000000 dead000000000122 0000000000000000 [ 97.318207] raw: 0000000000000000 0000000000000000 00000001ffffffff 0000000000000000 [ 97.319445] page dumped because: kasan: bad access detected [ 97.320371] [ 97.320694] Memory state around the buggy address: [ 97.321511] ffff800089277b00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 97.322681] ffff800089277b80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 97.323846] >ffff800089277c00: 00 00 f1 f1 f1 f1 f1 f1 00 00 00 00 00 00 00 00 [ 97.325023] ^ [ 97.325683] ffff800089277c80: 00 00 00 00 00 00 00 00 00 f3 f3 f3 f3 f3 f3 f3 [ 97.326856] ffff800089277d00: f3 f3 00 00 00 00 00 00 00 00 00 00 00 00 00 00 This issue seems to be related to the behavior of some gcc compilers and was also fixed on the s390 architecture before: commit d93a855c31b7 ("s390/ptrace: Avoid KASAN false positives in regs_get_kernel_stack_nth()") As described in that commit, regs_get_kernel_stack_nth() has confirmed that `addr` is on the stack, so reading the value at `*addr` should be allowed. Use READ_ONCE_NOCHECK() helper to silence the KASAN check for this case. [will: Use '*addr' as the argument to READ_ONCE_NOCHECK()] Уязвимость функции regs_get_kernel_stack_nth() ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: Fix crash in icl_update_topdown_event() The perf_fuzzer found a hard-lockup crash on a RaptorLake machine: Oops: general protection fault, maybe for address 0xffff89aeceab400: 0000 CPU: 23 UID: 0 PID: 0 Comm: swapper/23 Tainted: [W]=WARN Hardware name: Dell Inc. Precision 9660/0VJ762 RIP: 0010:native_read_pmc+0x7/0x40 Code: cc e8 8d a9 01 00 48 89 03 5b cd cc cc cc cc 0f 1f ... RSP: 000:fffb03100273de8 EFLAGS: 00010046 .... Call Trace: <TASK> icl_update_topdown_event+0x165/0x190 ? ktime_get+0x38/0xd0 intel_pmu_read_event+0xf9/0x210 __perf_event_read+0xf9/0x210 CPUs 16-23 are E-core CPUs that don't support the perf metrics feature. The icl_update_topdown_event() should not be invoked on these CPUs. It's a regression of commit: f9bdf1f95339 ("perf/x86/intel: Avoid disable PMU if !cpuc->enabled in sample read") The bug introduced by that commit is that the is_topdown_event() function is mistakenly used to replace the is_topdown_count() call to check if the topdown functions for the perf metrics feature should be invoked. Fix it. Уязвимость функции icl_update_topdown_event() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: atm: add lec_mutex syzbot found its way in net/atm/lec.c, and found an error path in lecd_attach() could leave a dangling pointer in dev_lec[]. Add a mutex to protect dev_lecp[] uses from lecd_attach(), lec_vcc_attach() and lec_mcast_attach(). Following patch will use this mutex for /proc/net/atm/lec. BUG: KASAN: slab-use-after-free in lecd_attach net/atm/lec.c:751 [inline] BUG: KASAN: slab-use-after-free in lane_ioctl+0x2224/0x23e0 net/atm/lec.c:1008 Read of size 8 at addr ffff88807c7b8e68 by task syz.1.17/6142 CPU: 1 UID: 0 PID: 6142 Comm: syz.1.17 Not tainted 6.16.0-rc1-syzkaller-00239-g08215f5486ec #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xcd/0x680 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 lecd_attach net/atm/lec.c:751 [inline] lane_ioctl+0x2224/0x23e0 net/atm/lec.c:1008 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x118/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Allocated by task 6132: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4328 [inline] __kvmalloc_node_noprof+0x27b/0x620 mm/slub.c:5015 alloc_netdev_mqs+0xd2/0x1570 net/core/dev.c:11711 lecd_attach net/atm/lec.c:737 [inline] lane_ioctl+0x17db/0x23e0 net/atm/lec.c:1008 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x118/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 6132: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 kasan_save_free_info+0x3b/0x60 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x51/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2381 [inline] slab_free mm/slub.c:4643 [inline] kfree+0x2b4/0x4d0 mm/slub.c:4842 free_netdev+0x6c5/0x910 net/core/dev.c:11892 lecd_attach net/atm/lec.c:744 [inline] lane_ioctl+0x1ce8/0x23e0 net/atm/lec.c:1008 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x118/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:893 Уязвимость компонента lec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mpls: Use rcu_dereference_rtnl() in mpls_route_input_rcu(). As syzbot reported [0], mpls_route_input_rcu() can be called from mpls_getroute(), where is under RTNL. net->mpls.platform_label is only updated under RTNL. Let's use rcu_dereference_rtnl() in mpls_route_input_rcu() to silence the splat. [0]: WARNING: suspicious RCU usage 6.15.0-rc7-syzkaller-00082-g5cdb2c77c4c3 #0 Not tainted ---------------------------- net/mpls/af_mpls.c:84 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by syz.2.4451/17730: #0: ffffffff9012a3e8 (rtnl_mutex){+.+.}-{4:4}, at: rtnl_lock net/core/rtnetlink.c:80 [inline] #0: ffffffff9012a3e8 (rtnl_mutex){+.+.}-{4:4}, at: rtnetlink_rcv_msg+0x371/0xe90 net/core/rtnetlink.c:6961 stack backtrace: CPU: 1 UID: 0 PID: 17730 Comm: syz.2.4451 Not tainted 6.15.0-rc7-syzkaller-00082-g5cdb2c77c4c3 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 lockdep_rcu_suspicious+0x166/0x260 kernel/locking/lockdep.c:6865 mpls_route_input_rcu+0x1d4/0x200 net/mpls/af_mpls.c:84 mpls_getroute+0x621/0x1ea0 net/mpls/af_mpls.c:2381 rtnetlink_rcv_msg+0x3c9/0xe90 net/core/rtnetlink.c:6964 netlink_rcv_skb+0x16d/0x440 net/netlink/af_netlink.c:2534 netlink_unicast_kernel net/netlink/af_netlink.c:1313 [inline] netlink_unicast+0x53a/0x7f0 net/netlink/af_netlink.c:1339 netlink_sendmsg+0x8d1/0xdd0 net/netlink/af_netlink.c:1883 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg net/socket.c:727 [inline] ____sys_sendmsg+0xa98/0xc70 net/socket.c:2566 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2620 __sys_sendmmsg+0x200/0x420 net/socket.c:2709 __do_sys_sendmmsg net/socket.c:2736 [inline] __se_sys_sendmmsg net/socket.c:2733 [inline] __x64_sys_sendmmsg+0x9c/0x100 net/socket.c:2733 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x230 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f0a2818e969 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f0a28f52038 EFLAGS: 00000246 ORIG_RAX: 0000000000000133 RAX: ffffffffffffffda RBX: 00007f0a283b5fa0 RCX: 00007f0a2818e969 RDX: 0000000000000003 RSI: 0000200000000080 RDI: 0000000000000003 RBP: 00007f0a28210ab1 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f0a283b5fa0 R15: 00007ffce5e9f268 </TASK> Уязвимость компонента af_mpls.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: aoe: clean device rq_list in aoedev_downdev() An aoe device's rq_list contains accepted block requests that are waiting to be transmitted to the aoe target. This queue was added as part of the conversion to blk_mq. However, the queue was not cleaned out when an aoe device is downed which caused blk_mq_freeze_queue() to sleep indefinitely waiting for those requests to complete, causing a hang. This fix cleans out the queue before calling blk_mq_freeze_queue(). Уязвимость функции aoedev_downdev ядра операционной системы Linux связана с неправильным освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jffs2: check jffs2_prealloc_raw_node_refs() result in few other places Fuzzing hit another invalid pointer dereference due to the lack of checking whether jffs2_prealloc_raw_node_refs() completed successfully. Subsequent logic implies that the node refs have been allocated. Handle that. The code is ready for propagating the error upwards. KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 PID: 5835 Comm: syz-executor145 Not tainted 5.10.234-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:jffs2_link_node_ref+0xac/0x690 fs/jffs2/nodelist.c:600 Call Trace: jffs2_mark_erased_block fs/jffs2/erase.c:460 [inline] jffs2_erase_pending_blocks+0x688/0x1860 fs/jffs2/erase.c:118 jffs2_garbage_collect_pass+0x638/0x1a00 fs/jffs2/gc.c:253 jffs2_reserve_space+0x3f4/0xad0 fs/jffs2/nodemgmt.c:167 jffs2_write_inode_range+0x246/0xb50 fs/jffs2/write.c:362 jffs2_write_end+0x712/0x1110 fs/jffs2/file.c:302 generic_perform_write+0x2c2/0x500 mm/filemap.c:3347 __generic_file_write_iter+0x252/0x610 mm/filemap.c:3465 generic_file_write_iter+0xdb/0x230 mm/filemap.c:3497 call_write_iter include/linux/fs.h:2039 [inline] do_iter_readv_writev+0x46d/0x750 fs/read_write.c:740 do_iter_write+0x18c/0x710 fs/read_write.c:866 vfs_writev+0x1db/0x6a0 fs/read_write.c:939 do_pwritev fs/read_write.c:1036 [inline] __do_sys_pwritev fs/read_write.c:1083 [inline] __se_sys_pwritev fs/read_write.c:1078 [inline] __x64_sys_pwritev+0x235/0x310 fs/read_write.c:1078 do_syscall_64+0x30/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции jffs2_prealloc_raw_node_refs ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: cortina: Use TOE/TSO on all TCP It is desireable to push the hardware accelerator to also process non-segmented TCP frames: we pass the skb->len to the "TOE/TSO" offloader and it will handle them. Without this quirk the driver becomes unstable and lock up and and crash. I do not know exactly why, but it is probably due to the TOE (TCP offload engine) feature that is coupled with the segmentation feature - it is not possible to turn one part off and not the other, either both TOE and TSO are active, or neither of them. Not having the TOE part active seems detrimental, as if that hardware feature is not really supposed to be turned off. The datasheet says: "Based on packet parsing and TCP connection/NAT table lookup results, the NetEngine puts the packets belonging to the same TCP connection to the same queue for the software to process. The NetEngine puts incoming packets to the buffer or series of buffers for a jumbo packet. With this hardware acceleration, IP/TCP header parsing, checksum validation and connection lookup are offloaded from the software processing." After numerous tests with the hardware locking up after something between minutes and hours depending on load using iperf3 I have concluded this is necessary to stabilize the hardware. Уязвимость компонента net ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Use memcpy() for BIOS version The strlcat() with FORTIFY support is triggering a panic because it thinks the target buffer will overflow although the correct target buffer size is passed in. Anyway, instead of memset() with 0 followed by a strlcat(), just use memcpy() and ensure that the resulting buffer is NULL terminated. BIOSVersion is only used for the lpfc_printf_log() which expects a properly terminated string. Уязвимость функции memcpy ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/sgx: Prevent attempts to reclaim poisoned pages TL;DR: SGX page reclaim touches the page to copy its contents to secondary storage. SGX instructions do not gracefully handle machine checks. Despite this, the existing SGX code will try to reclaim pages that it _knows_ are poisoned. Avoid even trying to reclaim poisoned pages. The longer story: Pages used by an enclave only get epc_page->poison set in arch_memory_failure() but they currently stay on sgx_active_page_list until sgx_encl_release(), with the SGX_EPC_PAGE_RECLAIMER_TRACKED flag untouched. epc_page->poison is not checked in the reclaimer logic meaning that, if other conditions are met, an attempt will be made to reclaim an EPC page that was poisoned. This is bad because 1. we don't want that page to end up added to another enclave and 2. it is likely to cause one core to shut down and the kernel to panic. Specifically, reclaiming uses microcode operations including "EWB" which accesses the EPC page contents to encrypt and write them out to non-SGX memory. Those operations cannot handle MCEs in their accesses other than by putting the executing core into a special shutdown state (affecting both threads with HT.) The kernel will subsequently panic on the remaining cores seeing the core didn't enter MCE handler(s) in time. Call sgx_unmark_page_reclaimable() to remove the affected EPC page from sgx_active_page_list on memory error to stop it being considered for reclaiming. Testing epc_page->poison in sgx_reclaim_pages() would also work but I assume it's better to add code in the less likely paths. The affected EPC page is not added to &node->sgx_poison_page_list until later in sgx_encl_release()->sgx_free_epc_page() when it is EREMOVEd. Membership on other lists doesn't change to avoid changing any of the lists' semantics except for sgx_active_page_list. There's a "TBD" comment in arch_memory_failure() about pre-emptive actions, the goal here is not to address everything that it may imply. This also doesn't completely close the time window when a memory error notification will be fatal (for a not previously poisoned EPC page) -- the MCE can happen after sgx_reclaim_pages() has selected its candidates or even *inside* a microcode operation (actually easy to trigger due to the amount of time spent in them.) The spinlock in sgx_unmark_page_reclaimable() is safe because memory_failure() runs in process context and no spinlocks are held, explicitly noted in a mm/memory-failure.c comment. Уязвимость функции arch_memory_failure ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: gpio-keys - fix a sleep while atomic with PREEMPT_RT When enabling PREEMPT_RT, the gpio_keys_irq_timer() callback runs in hard irq context, but the input_event() takes a spin_lock, which isn't allowed there as it is converted to a rt_spin_lock(). [ 4054.289999] BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 [ 4054.290028] in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 0, name: swapper/0 ... [ 4054.290195] __might_resched+0x13c/0x1f4 [ 4054.290209] rt_spin_lock+0x54/0x11c [ 4054.290219] input_event+0x48/0x80 [ 4054.290230] gpio_keys_irq_timer+0x4c/0x78 [ 4054.290243] __hrtimer_run_queues+0x1a4/0x438 [ 4054.290257] hrtimer_interrupt+0xe4/0x240 [ 4054.290269] arch_timer_handler_phys+0x2c/0x44 [ 4054.290283] handle_percpu_devid_irq+0x8c/0x14c [ 4054.290297] handle_irq_desc+0x40/0x58 [ 4054.290307] generic_handle_domain_irq+0x1c/0x28 [ 4054.290316] gic_handle_irq+0x44/0xcc Considering the gpio_keys_irq_isr() can run in any context, e.g. it can be threaded, it seems there's no point in requesting the timer isr to run in hard irq context. Relax the hrtimer not to use the hard context. Уязвимость функции gpio_keys_irq_timer ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ata: pata_via: Force PIO for ATAPI devices on VT6415/VT6330 The controller has a hardware bug that can hard hang the system when doing ATAPI DMAs without any trace of what happened. Depending on the device attached, it can also prevent the system from booting. In this case, the system hangs when reading the ATIP from optical media with cdrecord -vvv -atip on an _NEC DVD_RW ND-4571A 1-01 and an Optiarc DVD RW AD-7200A 1.06 attached to an ASRock 990FX Extreme 4, running at UDMA/33. The issue can be reproduced by running the same command with a cygwin build of cdrecord on WinXP, although it requires more attempts to cause it. The hang in that case is also resolved by forcing PIO. It doesn't appear that VIA has produced any drivers for that OS, thus no known workaround exists. HDDs attached to the controller do not suffer from any DMA issues. Уязвимость функции pata_via ядра операционной системы Linux связана с неправильным освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jbd2: fix data-race and null-ptr-deref in jbd2_journal_dirty_metadata() Since handle->h_transaction may be a NULL pointer, so we should change it to call is_handle_aborted(handle) first before dereferencing it. And the following data-race was reported in my fuzzer: ================================================================== BUG: KCSAN: data-race in jbd2_journal_dirty_metadata / jbd2_journal_dirty_metadata write to 0xffff888011024104 of 4 bytes by task 10881 on cpu 1: jbd2_journal_dirty_metadata+0x2a5/0x770 fs/jbd2/transaction.c:1556 __ext4_handle_dirty_metadata+0xe7/0x4b0 fs/ext4/ext4_jbd2.c:358 ext4_do_update_inode fs/ext4/inode.c:5220 [inline] ext4_mark_iloc_dirty+0x32c/0xd50 fs/ext4/inode.c:5869 __ext4_mark_inode_dirty+0xe1/0x450 fs/ext4/inode.c:6074 ext4_dirty_inode+0x98/0xc0 fs/ext4/inode.c:6103 .... read to 0xffff888011024104 of 4 bytes by task 10880 on cpu 0: jbd2_journal_dirty_metadata+0xf2/0x770 fs/jbd2/transaction.c:1512 __ext4_handle_dirty_metadata+0xe7/0x4b0 fs/ext4/ext4_jbd2.c:358 ext4_do_update_inode fs/ext4/inode.c:5220 [inline] ext4_mark_iloc_dirty+0x32c/0xd50 fs/ext4/inode.c:5869 __ext4_mark_inode_dirty+0xe1/0x450 fs/ext4/inode.c:6074 ext4_dirty_inode+0x98/0xc0 fs/ext4/inode.c:6103 .... value changed: 0x00000000 -> 0x00000001 ================================================================== This issue is caused by missing data-race annotation for jh->b_modified. Therefore, the missing annotation needs to be added. Уязвимость функции jbd2_journal_dirty_metadata ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: software node: Correct a OOB check in software_node_get_reference_args() software_node_get_reference_args() wants to get @index-th element, so the property value requires at least '(index + 1) * sizeof(*ref)' bytes but that can not be guaranteed by current OOB check, and may cause OOB for malformed property. Fix by using as OOB check '((index + 1) * sizeof(*ref) > prop->length)'. Уязвимость функции software_node_get_reference_args() ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: fix acpi parse and parseext cache leaks ACPICA commit 8829e70e1360c81e7a5a901b5d4f48330e021ea5 I'm Seunghun Han, and I work for National Security Research Institute of South Korea. I have been doing a research on ACPI and found an ACPI cache leak in ACPI early abort cases. Boot log of ACPI cache leak is as follows: [ 0.352414] ACPI: Added _OSI(Module Device) [ 0.353182] ACPI: Added _OSI(Processor Device) [ 0.353182] ACPI: Added _OSI(3.0 _SCP Extensions) [ 0.353182] ACPI: Added _OSI(Processor Aggregator Device) [ 0.356028] ACPI: Unable to start the ACPI Interpreter [ 0.356799] ACPI Error: Could not remove SCI handler (20170303/evmisc-281) [ 0.360215] kmem_cache_destroy Acpi-State: Slab cache still has objects [ 0.360648] CPU: 0 PID: 1 Comm: swapper/0 Tainted: G W 4.12.0-rc4-next-20170608+ #10 [ 0.361273] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 [ 0.361873] Call Trace: [ 0.362243] ? dump_stack+0x5c/0x81 [ 0.362591] ? kmem_cache_destroy+0x1aa/0x1c0 [ 0.362944] ? acpi_sleep_proc_init+0x27/0x27 [ 0.363296] ? acpi_os_delete_cache+0xa/0x10 [ 0.363646] ? acpi_ut_delete_caches+0x6d/0x7b [ 0.364000] ? acpi_terminate+0xa/0x14 [ 0.364000] ? acpi_init+0x2af/0x34f [ 0.364000] ? __class_create+0x4c/0x80 [ 0.364000] ? video_setup+0x7f/0x7f [ 0.364000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.364000] ? do_one_initcall+0x4e/0x1a0 [ 0.364000] ? kernel_init_freeable+0x189/0x20a [ 0.364000] ? rest_init+0xc0/0xc0 [ 0.364000] ? kernel_init+0xa/0x100 [ 0.364000] ? ret_from_fork+0x25/0x30 I analyzed this memory leak in detail. I found that “Acpi-State” cache and “Acpi-Parse” cache were merged because the size of cache objects was same slab cache size. I finally found “Acpi-Parse” cache and “Acpi-parse_ext” cache were leaked using SLAB_NEVER_MERGE flag in kmem_cache_create() function. Real ACPI cache leak point is as follows: [ 0.360101] ACPI: Added _OSI(Module Device) [ 0.360101] ACPI: Added _OSI(Processor Device) [ 0.360101] ACPI: Added _OSI(3.0 _SCP Extensions) [ 0.361043] ACPI: Added _OSI(Processor Aggregator Device) [ 0.364016] ACPI: Unable to start the ACPI Interpreter [ 0.365061] ACPI Error: Could not remove SCI handler (20170303/evmisc-281) [ 0.368174] kmem_cache_destroy Acpi-Parse: Slab cache still has objects [ 0.369332] CPU: 1 PID: 1 Comm: swapper/0 Tainted: G W 4.12.0-rc4-next-20170608+ #8 [ 0.371256] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 [ 0.372000] Call Trace: [ 0.372000] ? dump_stack+0x5c/0x81 [ 0.372000] ? kmem_cache_destroy+0x1aa/0x1c0 [ 0.372000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.372000] ? acpi_os_delete_cache+0xa/0x10 [ 0.372000] ? acpi_ut_delete_caches+0x56/0x7b [ 0.372000] ? acpi_terminate+0xa/0x14 [ 0.372000] ? acpi_init+0x2af/0x34f [ 0.372000] ? __class_create+0x4c/0x80 [ 0.372000] ? video_setup+0x7f/0x7f [ 0.372000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.372000] ? do_one_initcall+0x4e/0x1a0 [ 0.372000] ? kernel_init_freeable+0x189/0x20a [ 0.372000] ? rest_init+0xc0/0xc0 [ 0.372000] ? kernel_init+0xa/0x100 [ 0.372000] ? ret_from_fork+0x25/0x30 [ 0.388039] kmem_cache_destroy Acpi-parse_ext: Slab cache still has objects [ 0.389063] CPU: 1 PID: 1 Comm: swapper/0 Tainted: G W 4.12.0-rc4-next-20170608+ #8 [ 0.390557] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 [ 0.392000] Call Trace: [ 0.392000] ? dump_stack+0x5c/0x81 [ 0.392000] ? kmem_cache_destroy+0x1aa/0x1c0 [ 0.392000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.392000] ? acpi_os_delete_cache+0xa/0x10 [ 0.392000] ? acpi_ut_delete_caches+0x6d/0x7b [ 0.392000] ? acpi_terminate+0xa/0x14 [ 0.392000] ? acpi_init+0x2af/0x3 ---truncated--- Уязвимость функции acpi_ps_complete_final_op() модуля drivers/acpi/acpica/psobject.c ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: fix acpi operand cache leak in dswstate.c ACPICA commit 987a3b5cf7175916e2a4b6ea5b8e70f830dfe732 I found an ACPI cache leak in ACPI early termination and boot continuing case. When early termination occurs due to malicious ACPI table, Linux kernel terminates ACPI function and continues to boot process. While kernel terminates ACPI function, kmem_cache_destroy() reports Acpi-Operand cache leak. Boot log of ACPI operand cache leak is as follows: >[ 0.585957] ACPI: Added _OSI(Module Device) >[ 0.587218] ACPI: Added _OSI(Processor Device) >[ 0.588530] ACPI: Added _OSI(3.0 _SCP Extensions) >[ 0.589790] ACPI: Added _OSI(Processor Aggregator Device) >[ 0.591534] ACPI Error: Illegal I/O port address/length above 64K: C806E00000004002/0x2 (20170303/hwvalid-155) >[ 0.594351] ACPI Exception: AE_LIMIT, Unable to initialize fixed events (20170303/evevent-88) >[ 0.597858] ACPI: Unable to start the ACPI Interpreter >[ 0.599162] ACPI Error: Could not remove SCI handler (20170303/evmisc-281) >[ 0.601836] kmem_cache_destroy Acpi-Operand: Slab cache still has objects >[ 0.603556] CPU: 0 PID: 1 Comm: swapper/0 Not tainted 4.12.0-rc5 #26 >[ 0.605159] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 >[ 0.609177] Call Trace: >[ 0.610063] ? dump_stack+0x5c/0x81 >[ 0.611118] ? kmem_cache_destroy+0x1aa/0x1c0 >[ 0.612632] ? acpi_sleep_proc_init+0x27/0x27 >[ 0.613906] ? acpi_os_delete_cache+0xa/0x10 >[ 0.617986] ? acpi_ut_delete_caches+0x3f/0x7b >[ 0.619293] ? acpi_terminate+0xa/0x14 >[ 0.620394] ? acpi_init+0x2af/0x34f >[ 0.621616] ? __class_create+0x4c/0x80 >[ 0.623412] ? video_setup+0x7f/0x7f >[ 0.624585] ? acpi_sleep_proc_init+0x27/0x27 >[ 0.625861] ? do_one_initcall+0x4e/0x1a0 >[ 0.627513] ? kernel_init_freeable+0x19e/0x21f >[ 0.628972] ? rest_init+0x80/0x80 >[ 0.630043] ? kernel_init+0xa/0x100 >[ 0.631084] ? ret_from_fork+0x25/0x30 >[ 0.633343] vgaarb: loaded >[ 0.635036] EDAC MC: Ver: 3.0.0 >[ 0.638601] PCI: Probing PCI hardware >[ 0.639833] PCI host bridge to bus 0000:00 >[ 0.641031] pci_bus 0000:00: root bus resource [io 0x0000-0xffff] > ... Continue to boot and log is omitted ... I analyzed this memory leak in detail and found acpi_ds_obj_stack_pop_and_ delete() function miscalculated the top of the stack. acpi_ds_obj_stack_push() function uses walk_state->operand_index for start position of the top, but acpi_ds_obj_stack_pop_and_delete() function considers index 0 for it. Therefore, this causes acpi operand memory leak. This cache leak causes a security threat because an old kernel (<= 4.9) shows memory locations of kernel functions in stack dump. Some malicious users could use this information to neutralize kernel ASLR. I made a patch to fix ACPI operand cache leak. Уязвимость функции kmem_cache_destroy() модуля dswstate.c ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix UAF when lookup kallsym after ftrace disabled The following issue happens with a buggy module: BUG: unable to handle page fault for address: ffffffffc05d0218 PGD 1bd66f067 P4D 1bd66f067 PUD 1bd671067 PMD 101808067 PTE 0 Oops: Oops: 0000 [#1] SMP KASAN PTI Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS RIP: 0010:sized_strscpy+0x81/0x2f0 RSP: 0018:ffff88812d76fa08 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffffffffc0601010 RCX: dffffc0000000000 RDX: 0000000000000038 RSI: dffffc0000000000 RDI: ffff88812608da2d RBP: 8080808080808080 R08: ffff88812608da2d R09: ffff88812608da68 R10: ffff88812608d82d R11: ffff88812608d810 R12: 0000000000000038 R13: ffff88812608da2d R14: ffffffffc05d0218 R15: fefefefefefefeff FS: 00007fef552de740(0000) GS:ffff8884251c7000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffc05d0218 CR3: 00000001146f0000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ftrace_mod_get_kallsym+0x1ac/0x590 update_iter_mod+0x239/0x5b0 s_next+0x5b/0xa0 seq_read_iter+0x8c9/0x1070 seq_read+0x249/0x3b0 proc_reg_read+0x1b0/0x280 vfs_read+0x17f/0x920 ksys_read+0xf3/0x1c0 do_syscall_64+0x5f/0x2e0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The above issue may happen as follows: (1) Add kprobe tracepoint; (2) insmod test.ko; (3) Module triggers ftrace disabled; (4) rmmod test.ko; (5) cat /proc/kallsyms; --> Will trigger UAF as test.ko already removed; ftrace_mod_get_kallsym() ... strscpy(module_name, mod_map->mod->name, MODULE_NAME_LEN); ... The problem is when a module triggers an issue with ftrace and sets ftrace_disable. The ftrace_disable is set when an anomaly is discovered and to prevent any more damage, ftrace stops all text modification. The issue that happened was that the ftrace_disable stops more than just the text modification. When a module is loaded, its init functions can also be traced. Because kallsyms deletes the init functions after a module has loaded, ftrace saves them when the module is loaded and function tracing is enabled. This allows the output of the function trace to show the init function names instead of just their raw memory addresses. When a module is removed, ftrace_release_mod() is called, and if ftrace_disable is set, it just returns without doing anything more. The problem here is that it leaves the mod_list still around and if kallsyms is called, it will call into this code and access the module memory that has already been freed as it will return: strscpy(module_name, mod_map->mod->name, MODULE_NAME_LEN); Where the "mod" no longer exists and triggers a UAF bug. Уязвимость функции ftrace_mod_get_kallsym() компонента ftrace ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on ino and xnid syzbot reported a f2fs bug as below: INFO: task syz-executor140:5308 blocked for more than 143 seconds. Not tainted 6.14.0-rc7-syzkaller-00069-g81e4f8d68c66 #0 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:syz-executor140 state:D stack:24016 pid:5308 tgid:5308 ppid:5306 task_flags:0x400140 flags:0x00000006 Call Trace: <TASK> context_switch kernel/sched/core.c:5378 [inline] __schedule+0x190e/0x4c90 kernel/sched/core.c:6765 __schedule_loop kernel/sched/core.c:6842 [inline] schedule+0x14b/0x320 kernel/sched/core.c:6857 io_schedule+0x8d/0x110 kernel/sched/core.c:7690 folio_wait_bit_common+0x839/0xee0 mm/filemap.c:1317 __folio_lock mm/filemap.c:1664 [inline] folio_lock include/linux/pagemap.h:1163 [inline] __filemap_get_folio+0x147/0xb40 mm/filemap.c:1917 pagecache_get_page+0x2c/0x130 mm/folio-compat.c:87 find_get_page_flags include/linux/pagemap.h:842 [inline] f2fs_grab_cache_page+0x2b/0x320 fs/f2fs/f2fs.h:2776 __get_node_page+0x131/0x11b0 fs/f2fs/node.c:1463 read_xattr_block+0xfb/0x190 fs/f2fs/xattr.c:306 lookup_all_xattrs fs/f2fs/xattr.c:355 [inline] f2fs_getxattr+0x676/0xf70 fs/f2fs/xattr.c:533 __f2fs_get_acl+0x52/0x870 fs/f2fs/acl.c:179 f2fs_acl_create fs/f2fs/acl.c:375 [inline] f2fs_init_acl+0xd7/0x9b0 fs/f2fs/acl.c:418 f2fs_init_inode_metadata+0xa0f/0x1050 fs/f2fs/dir.c:539 f2fs_add_inline_entry+0x448/0x860 fs/f2fs/inline.c:666 f2fs_add_dentry+0xba/0x1e0 fs/f2fs/dir.c:765 f2fs_do_add_link+0x28c/0x3a0 fs/f2fs/dir.c:808 f2fs_add_link fs/f2fs/f2fs.h:3616 [inline] f2fs_mknod+0x2e8/0x5b0 fs/f2fs/namei.c:766 vfs_mknod+0x36d/0x3b0 fs/namei.c:4191 unix_bind_bsd net/unix/af_unix.c:1286 [inline] unix_bind+0x563/0xe30 net/unix/af_unix.c:1379 __sys_bind_socket net/socket.c:1817 [inline] __sys_bind+0x1e4/0x290 net/socket.c:1848 __do_sys_bind net/socket.c:1853 [inline] __se_sys_bind net/socket.c:1851 [inline] __x64_sys_bind+0x7a/0x90 net/socket.c:1851 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Let's dump and check metadata of corrupted inode, it shows its xattr_nid is the same to its i_ino. dump.f2fs -i 3 chaseyu.img.raw i_xattr_nid [0x 3 : 3] So that, during mknod in the corrupted directory, it tries to get and lock inode page twice, result in deadlock. - f2fs_mknod - f2fs_add_inline_entry - f2fs_get_inode_page --- lock dir's inode page - f2fs_init_acl - f2fs_acl_create(dir,..) - __f2fs_get_acl - f2fs_getxattr - lookup_all_xattrs - __get_node_page --- try to lock dir's inode page In order to fix this, let's add sanity check on ino and xnid. Уязвимость модуля fs/f2fs/inode.c ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: p54: prevent buffer-overflow in p54_rx_eeprom_readback() Robert Morris reported: |If a malicious USB device pretends to be an Intersil p54 wifi |interface and generates an eeprom_readback message with a large |eeprom->v1.len, p54_rx_eeprom_readback() will copy data from the |message beyond the end of priv->eeprom. | |static void p54_rx_eeprom_readback(struct p54_common *priv, | struct sk_buff *skb) |{ | struct p54_hdr *hdr = (struct p54_hdr *) skb->data; | struct p54_eeprom_lm86 *eeprom = (struct p54_eeprom_lm86 *) hdr->data; | | if (priv->fw_var >= 0x509) { | memcpy(priv->eeprom, eeprom->v2.data, | le16_to_cpu(eeprom->v2.len)); | } else { | memcpy(priv->eeprom, eeprom->v1.data, | le16_to_cpu(eeprom->v1.len)); | } | [...] The eeprom->v{1,2}.len is set by the driver in p54_download_eeprom(). The device is supposed to provide the same length back to the driver. But yes, it's possible (like shown in the report) to alter the value to something that causes a crash/panic due to overrun. This patch addresses the issue by adding the size to the common device context, so p54_rx_eeprom_readback no longer relies on possibly tampered values... That said, it also checks if the "firmware" altered the value and no longer copies them. The one, small saving grace is: Before the driver tries to read the eeprom, it needs to upload >a< firmware. the vendor firmware has a proprietary license and as a reason, it is not present on most distributions by default. Уязвимость функции p54_rx_eeprom_readback() компонента wifi ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: Always pass notifications when child class becomes empty Certain classful qdiscs may invoke their classes' dequeue handler on an enqueue operation. This may unexpectedly empty the child qdisc and thus make an in-flight class passive via qlen_notify(). Most qdiscs do not expect such behaviour at this point in time and may re-activate the class eventually anyways which will lead to a use-after-free. The referenced fix commit attempted to fix this behavior for the HFSC case by moving the backlog accounting around, though this turned out to be incomplete since the parent's parent may run into the issue too. The following reproducer demonstrates this use-after-free: tc qdisc add dev lo root handle 1: drr tc filter add dev lo parent 1: basic classid 1:1 tc class add dev lo parent 1: classid 1:1 drr tc qdisc add dev lo parent 1:1 handle 2: hfsc def 1 tc class add dev lo parent 2: classid 2:1 hfsc rt m1 8 d 1 m2 0 tc qdisc add dev lo parent 2:1 handle 3: netem tc qdisc add dev lo parent 3:1 handle 4: blackhole echo 1 | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888 tc class delete dev lo classid 1:1 echo 1 | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888 Since backlog accounting issues leading to a use-after-frees on stale class pointers is a recurring pattern at this point, this patch takes a different approach. Instead of trying to fix the accounting, the patch ensures that qdisc_tree_reduce_backlog always calls qlen_notify when the child qdisc is empty. This solves the problem because deletion of qdiscs always involves a call to qdisc_reset() and / or qdisc_purge_queue() which ultimately resets its qlen to 0 thus causing the following qdisc_tree_reduce_backlog() to report to the parent. Note that this may call qlen_notify on passive classes multiple times. This is not a problem after the recent patch series that made all the classful qdiscs qlen_notify() handlers idempotent. Уязвимость функции qlen_notify() компонента sched ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_cbs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_cbs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_cbs ``` или ``` kmod list | grep sch_cbs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_cbs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_cbs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: posix-cpu-timers: fix race between handle_posix_cpu_timers() and posix_cpu_timer_del() If an exiting non-autoreaping task has already passed exit_notify() and calls handle_posix_cpu_timers() from IRQ, it can be reaped by its parent or debugger right after unlock_task_sighand(). If a concurrent posix_cpu_timer_del() runs at that moment, it won't be able to detect timer->it.cpu.firing != 0: cpu_timer_task_rcu() and/or lock_task_sighand() will fail. Add the tsk->exit_state check into run_posix_cpu_timers() to fix this. This fix is not needed if CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y, because exit_task_work() is called before exit_notify(). But the check still makes sense, task_work_add(&tsk->posix_cputimers_work.work) will fail anyway in this case. Уязвимость компонента kernel/time/posix-cpu-timers.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm/gpu: Fix crash when throttling GPU immediately during boot There is a small chance that the GPU is already hot during boot. In that case, the call to of_devfreq_cooling_register() will immediately try to apply devfreq cooling, as seen in the following crash: Unable to handle kernel paging request at virtual address 0000000000014110 pc : a6xx_gpu_busy+0x1c/0x58 [msm] lr : msm_devfreq_get_dev_status+0xbc/0x140 [msm] Call trace: a6xx_gpu_busy+0x1c/0x58 [msm] (P) devfreq_simple_ondemand_func+0x3c/0x150 devfreq_update_target+0x44/0xd8 qos_max_notifier_call+0x30/0x84 blocking_notifier_call_chain+0x6c/0xa0 pm_qos_update_target+0xd0/0x110 freq_qos_apply+0x3c/0x74 apply_constraint+0x88/0x148 __dev_pm_qos_update_request+0x7c/0xcc dev_pm_qos_update_request+0x38/0x5c devfreq_cooling_set_cur_state+0x98/0xf0 __thermal_cdev_update+0x64/0xb4 thermal_cdev_update+0x4c/0x58 step_wise_manage+0x1f0/0x318 __thermal_zone_device_update+0x278/0x424 __thermal_cooling_device_register+0x2bc/0x308 thermal_of_cooling_device_register+0x10/0x1c of_devfreq_cooling_register_power+0x240/0x2bc of_devfreq_cooling_register+0x14/0x20 msm_devfreq_init+0xc4/0x1a0 [msm] msm_gpu_init+0x304/0x574 [msm] adreno_gpu_init+0x1c4/0x2e0 [msm] a6xx_gpu_init+0x5c8/0x9c8 [msm] adreno_bind+0x2a8/0x33c [msm] ... At this point we haven't initialized the GMU at all yet, so we cannot read the GMU registers inside a6xx_gpu_busy(). A similar issue was fixed before in commit 6694482a70e9 ("drm/msm: Avoid unclocked GMU register access in 6xx gpu_busy"): msm_devfreq_init() does call devfreq_suspend_device(), but unlike msm_devfreq_suspend(), it doesn't set the df->suspended flag accordingly. This means the df->suspended flag does not match the actual devfreq state after initialization and msm_devfreq_get_dev_status() will end up accessing GMU registers, causing the crash. Fix this by setting df->suspended correctly during initialization. Patchwork: https://patchwork.freedesktop.org/patch/650772/ Уязвимость функции msm_devfreq_init() файла drivers/gpu/drm/msm/msm_gpu_devfreq.c ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null pointer check for get_first_active_display() The function mod_hdcp_hdcp1_enable_encryption() calls the function get_first_active_display(), but does not check its return value. The return value is a null pointer if the display list is empty. This will lead to a null pointer dereference in mod_hdcp_hdcp2_enable_encryption(). Add a null pointer check for get_first_active_display() and return MOD_HDCP_STATUS_DISPLAY_NOT_FOUND if the function return null. Уязвимость функции mod_hdcp_hdcp1_enable_encryption() (drivers/gpu/drm/amd/display/modules/hdcp/hdcp_psp.c) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/tegra: Fix a possible null pointer dereference In tegra_crtc_reset(), new memory is allocated with kzalloc(), but no check is performed. Before calling __drm_atomic_helper_crtc_reset, state should be checked to prevent possible null pointer dereference. Уязвимость функции tegra_crtc_reset() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: maple_tree: fix MA_STATE_PREALLOC flag in mas_preallocate() Temporarily clear the preallocation flag when explicitly requesting allocations. Pre-existing allocations are already counted against the request through mas_node_count_gfp(), but the allocations will not happen if the MA_STATE_PREALLOC flag is set. This flag is meant to avoid re-allocating in bulk allocation mode, and to detect issues with preallocation calculations. The MA_STATE_PREALLOC flag should also always be set on zero allocations so that detection of underflow allocations will print a WARN_ON() during consumption. User visible effect of this flaw is a WARN_ON() followed by a null pointer dereference when subsequent requests for larger number of nodes is ignored, such as the vma merge retry in mmap_region() caused by drivers altering the vma flags (which happens in v6.6, at least) Уязвимость функции mas_preallocate() модуля lib/maple_tree.c ядра операционных систем Linux связана с разыменованием указателей в результате некорректного выделения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix a race between renames and directory logging We have a race between a rename and directory inode logging that if it happens and we crash/power fail before the rename completes, the next time the filesystem is mounted, the log replay code will end up deleting the file that was being renamed. This is best explained following a step by step analysis of an interleaving of steps that lead into this situation. Consider the initial conditions: 1) We are at transaction N; 2) We have directories A and B created in a past transaction (< N); 3) We have inode X corresponding to a file that has 2 hardlinks, one in directory A and the other in directory B, so we'll name them as "A/foo_link1" and "B/foo_link2". Both hard links were persisted in a past transaction (< N); 4) We have inode Y corresponding to a file that as a single hard link and is located in directory A, we'll name it as "A/bar". This file was also persisted in a past transaction (< N). The steps leading to a file loss are the following and for all of them we are under transaction N: 1) Link "A/foo_link1" is removed, so inode's X last_unlink_trans field is updated to N, through btrfs_unlink() -> btrfs_record_unlink_dir(); 2) Task A starts a rename for inode Y, with the goal of renaming from "A/bar" to "A/baz", so we enter btrfs_rename(); 3) Task A inserts the new BTRFS_INODE_REF_KEY for inode Y by calling btrfs_insert_inode_ref(); 4) Because the rename happens in the same directory, we don't set the last_unlink_trans field of directoty A's inode to the current transaction id, that is, we don't cal btrfs_record_unlink_dir(); 5) Task A then removes the entries from directory A (BTRFS_DIR_ITEM_KEY and BTRFS_DIR_INDEX_KEY items) when calling __btrfs_unlink_inode() (actually the dir index item is added as a delayed item, but the effect is the same); 6) Now before task A adds the new entry "A/baz" to directory A by calling btrfs_add_link(), another task, task B is logging inode X; 7) Task B starts a fsync of inode X and after logging inode X, at btrfs_log_inode_parent() it calls btrfs_log_all_parents(), since inode X has a last_unlink_trans value of N, set at in step 1; 8) At btrfs_log_all_parents() we search for all parent directories of inode X using the commit root, so we find directories A and B and log them. Bu when logging direct A, we don't have a dir index item for inode Y anymore, neither the old name "A/bar" nor for the new name "A/baz" since the rename has deleted the old name but has not yet inserted the new name - task A hasn't called yet btrfs_add_link() to do that. Note that logging directory A doesn't fallback to a transaction commit because its last_unlink_trans has a lower value than the current transaction's id (see step 4); 9) Task B finishes logging directories A and B and gets back to btrfs_sync_file() where it calls btrfs_sync_log() to persist the log tree; 10) Task B successfully persisted the log tree, btrfs_sync_log() completed with success, and a power failure happened. We have a log tree without any directory entry for inode Y, so the log replay code deletes the entry for inode Y, name "A/bar", from the subvolume tree since it doesn't exist in the log tree and the log tree is authorative for its index (we logged a BTRFS_DIR_LOG_INDEX_KEY item that covers the index range for the dentry that corresponds to "A/bar"). Since there's no other hard link for inode Y and the log replay code deletes the name "A/bar", the file is lost. The issue wouldn't happen if task B synced the log only after task A called btrfs_log_new_name(), which would update the log with the new name for inode Y ("A/bar"). Fix this by pinning the log root during renames before removing the old directory entry, and unpinning af ---truncated--- Уязвимость файловой системы Btrfs (fs/btrfs/inode.c) ядра операционной системы Linux вызвана ситуацией гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Disable interrupts before resetting the GPU Currently, an interrupt can be triggered during a GPU reset, which can lead to GPU hangs and NULL pointer dereference in an interrupt context as shown in the following trace: [ 314.035040] Unable to handle kernel NULL pointer dereference at virtual address 00000000000000c0 [ 314.043822] Mem abort info: [ 314.046606] ESR = 0x0000000096000005 [ 314.050347] EC = 0x25: DABT (current EL), IL = 32 bits [ 314.055651] SET = 0, FnV = 0 [ 314.058695] EA = 0, S1PTW = 0 [ 314.061826] FSC = 0x05: level 1 translation fault [ 314.066694] Data abort info: [ 314.069564] ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000 [ 314.075039] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 314.080080] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 314.085382] user pgtable: 4k pages, 39-bit VAs, pgdp=0000000102728000 [ 314.091814] [00000000000000c0] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 [ 314.100511] Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP [ 314.106770] Modules linked in: v3d i2c_brcmstb vc4 snd_soc_hdmi_codec gpu_sched drm_shmem_helper drm_display_helper cec drm_dma_helper drm_kms_helper drm drm_panel_orientation_quirks snd_soc_core snd_compress snd_pcm_dmaengine snd_pcm snd_timer snd backlight [ 314.129654] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.12.25+rpt-rpi-v8 #1 Debian 1:6.12.25-1+rpt1 [ 314.139388] Hardware name: Raspberry Pi 4 Model B Rev 1.4 (DT) [ 314.145211] pstate: 600000c5 (nZCv daIF -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 314.152165] pc : v3d_irq+0xec/0x2e0 [v3d] [ 314.156187] lr : v3d_irq+0xe0/0x2e0 [v3d] [ 314.160198] sp : ffffffc080003ea0 [ 314.163502] x29: ffffffc080003ea0 x28: ffffffec1f184980 x27: 021202b000000000 [ 314.170633] x26: ffffffec1f17f630 x25: ffffff8101372000 x24: ffffffec1f17d9f0 [ 314.177764] x23: 000000000000002a x22: 000000000000002a x21: ffffff8103252000 [ 314.184895] x20: 0000000000000001 x19: 00000000deadbeef x18: 0000000000000000 [ 314.192026] x17: ffffff94e51d2000 x16: ffffffec1dac3cb0 x15: c306000000000000 [ 314.199156] x14: 0000000000000000 x13: b2fc982e03cc5168 x12: 0000000000000001 [ 314.206286] x11: ffffff8103f8bcc0 x10: ffffffec1f196868 x9 : ffffffec1dac3874 [ 314.213416] x8 : 0000000000000000 x7 : 0000000000042a3a x6 : ffffff810017a180 [ 314.220547] x5 : ffffffec1ebad400 x4 : ffffffec1ebad320 x3 : 00000000000bebeb [ 314.227677] x2 : 0000000000000000 x1 : 0000000000000000 x0 : 0000000000000000 [ 314.234807] Call trace: [ 314.237243] v3d_irq+0xec/0x2e0 [v3d] [ 314.240906] __handle_irq_event_percpu+0x58/0x218 [ 314.245609] handle_irq_event+0x54/0xb8 [ 314.249439] handle_fasteoi_irq+0xac/0x240 [ 314.253527] handle_irq_desc+0x48/0x68 [ 314.257269] generic_handle_domain_irq+0x24/0x38 [ 314.261879] gic_handle_irq+0x48/0xd8 [ 314.265533] call_on_irq_stack+0x24/0x58 [ 314.269448] do_interrupt_handler+0x88/0x98 [ 314.273624] el1_interrupt+0x34/0x68 [ 314.277193] el1h_64_irq_handler+0x18/0x28 [ 314.281281] el1h_64_irq+0x64/0x68 [ 314.284673] default_idle_call+0x3c/0x168 [ 314.288675] do_idle+0x1fc/0x230 [ 314.291895] cpu_startup_entry+0x3c/0x50 [ 314.295810] rest_init+0xe4/0xf0 [ 314.299030] start_kernel+0x5e8/0x790 [ 314.302684] __primary_switched+0x80/0x90 [ 314.306691] Code: 940029eb 360ffc13 f9442ea0 52800001 (f9406017) [ 314.312775] ---[ end trace 0000000000000000 ]--- [ 314.317384] Kernel panic - not syncing: Oops: Fatal exception in interrupt [ 314.324249] SMP: stopping secondary CPUs [ 314.328167] Kernel Offset: 0x2b9da00000 from 0xffffffc080000000 [ 314.334076] PHYS_OFFSET: 0x0 [ 314.336946] CPU features: 0x08,00002013,c0200000,0200421b [ 314.342337] Memory Limit: none [ 314.345382] ---[ end Kernel panic - not syncing: Oops: Fatal exception in interrupt ]--- Before resetting the G ---truncated--- Уязвимость модулей drivers/gpu/drm/v3d/v3d_drv.h, drivers/gpu/drm/v3d/v3d_gem.c и drivers/gpu/drm/v3d/v3d_irq.c ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio-net: ensure the received length does not exceed allocated size In xdp_linearize_page, when reading the following buffers from the ring, we forget to check the received length with the true allocate size. This can lead to an out-of-bound read. This commit adds that missing check. Уязвимость функции xdp_linearize_page() модуля drivers/net/virtio_net.c ядра операционных систем Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rose: fix dangling neighbour pointers in rose_rt_device_down() There are two bugs in rose_rt_device_down() that can cause use-after-free: 1. The loop bound `t->count` is modified within the loop, which can cause the loop to terminate early and miss some entries. 2. When removing an entry from the neighbour array, the subsequent entries are moved up to fill the gap, but the loop index `i` is still incremented, causing the next entry to be skipped. For example, if a node has three neighbours (A, A, B) with count=3 and A is being removed, the second A is not checked. i=0: (A, A, B) -> (A, B) with count=2 ^ checked i=1: (A, B) -> (A, B) with count=2 ^ checked (B, not A!) i=2: (doesn't occur because i < count is false) This leaves the second A in the array with count=2, but the rose_neigh structure has been freed. Code that accesses these entries assumes that the first `count` entries are valid pointers, causing a use-after-free when it accesses the dangling pointer. Fix both issues by iterating over the array in reverse order with a fixed loop bound. This ensures that all entries are examined and that the removal of an entry doesn't affect subsequent iterations. Уязвимость функции rose_rt_device_down() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix iteration of extrefs during log replay At __inode_add_ref() when processing extrefs, if we jump into the next label we have an undefined value of victim_name.len, since we haven't initialized it before we did the goto. This results in an invalid memory access in the next iteration of the loop since victim_name.len was not initialized to the length of the name of the current extref. Fix this by initializing victim_name.len with the current extref's name length. Уязвимость функции __inode_add_ref() ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: spinand: fix memory leak of ECC engine conf Memory allocated for the ECC engine conf is not released during spinand cleanup. Below kmemleak trace is seen for this memory leak: unreferenced object 0xffffff80064f00e0 (size 8): comm "swapper/0", pid 1, jiffies 4294937458 hex dump (first 8 bytes): 00 00 00 00 00 00 00 00 ........ backtrace (crc 0): kmemleak_alloc+0x30/0x40 __kmalloc_cache_noprof+0x208/0x3c0 spinand_ondie_ecc_init_ctx+0x114/0x200 nand_ecc_init_ctx+0x70/0xa8 nanddev_ecc_engine_init+0xec/0x27c spinand_probe+0xa2c/0x1620 spi_mem_probe+0x130/0x21c spi_probe+0xf0/0x170 really_probe+0x17c/0x6e8 __driver_probe_device+0x17c/0x21c driver_probe_device+0x58/0x180 __device_attach_driver+0x15c/0x1f8 bus_for_each_drv+0xec/0x150 __device_attach+0x188/0x24c device_initial_probe+0x10/0x20 bus_probe_device+0x11c/0x160 Fix the leak by calling nanddev_ecc_engine_cleanup() inside spinand_cleanup(). Уязвимость функции nanddev_ecc_engine_cleanup() ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: lan78xx: fix WARN in __netif_napi_del_locked on disconnect Remove redundant netif_napi_del() call from disconnect path. A WARN may be triggered in __netif_napi_del_locked() during USB device disconnect: WARNING: CPU: 0 PID: 11 at net/core/dev.c:7417 __netif_napi_del_locked+0x2b4/0x350 This happens because netif_napi_del() is called in the disconnect path while NAPI is still enabled. However, it is not necessary to call netif_napi_del() explicitly, since unregister_netdev() will handle NAPI teardown automatically and safely. Removing the redundant call avoids triggering the warning. Full trace: lan78xx 1-1:1.0 enu1: Failed to read register index 0x000000c4. ret = -ENODEV lan78xx 1-1:1.0 enu1: Failed to set MAC down with error -ENODEV lan78xx 1-1:1.0 enu1: Link is Down lan78xx 1-1:1.0 enu1: Failed to read register index 0x00000120. ret = -ENODEV ------------[ cut here ]------------ WARNING: CPU: 0 PID: 11 at net/core/dev.c:7417 __netif_napi_del_locked+0x2b4/0x350 Modules linked in: flexcan can_dev fuse CPU: 0 UID: 0 PID: 11 Comm: kworker/0:1 Not tainted 6.16.0-rc2-00624-ge926949dab03 #9 PREEMPT Hardware name: SKOV IMX8MP CPU revC - bd500 (DT) Workqueue: usb_hub_wq hub_event pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __netif_napi_del_locked+0x2b4/0x350 lr : __netif_napi_del_locked+0x7c/0x350 sp : ffffffc085b673c0 x29: ffffffc085b673c0 x28: ffffff800b7f2000 x27: ffffff800b7f20d8 x26: ffffff80110bcf58 x25: ffffff80110bd978 x24: 1ffffff0022179eb x23: ffffff80110bc000 x22: ffffff800b7f5000 x21: ffffff80110bc000 x20: ffffff80110bcf38 x19: ffffff80110bcf28 x18: dfffffc000000000 x17: ffffffc081578940 x16: ffffffc08284cee0 x15: 0000000000000028 x14: 0000000000000006 x13: 0000000000040000 x12: ffffffb0022179e8 x11: 1ffffff0022179e7 x10: ffffffb0022179e7 x9 : dfffffc000000000 x8 : 0000004ffdde8619 x7 : ffffff80110bcf3f x6 : 0000000000000001 x5 : ffffff80110bcf38 x4 : ffffff80110bcf38 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 1ffffff0022179e7 x0 : 0000000000000000 Call trace: __netif_napi_del_locked+0x2b4/0x350 (P) lan78xx_disconnect+0xf4/0x360 usb_unbind_interface+0x158/0x718 device_remove+0x100/0x150 device_release_driver_internal+0x308/0x478 device_release_driver+0x1c/0x30 bus_remove_device+0x1a8/0x368 device_del+0x2e0/0x7b0 usb_disable_device+0x244/0x540 usb_disconnect+0x220/0x758 hub_event+0x105c/0x35e0 process_one_work+0x760/0x17b0 worker_thread+0x768/0xce8 kthread+0x3bc/0x690 ret_from_fork+0x10/0x20 irq event stamp: 211604 hardirqs last enabled at (211603): [<ffffffc0828cc9ec>] _raw_spin_unlock_irqrestore+0x84/0x98 hardirqs last disabled at (211604): [<ffffffc0828a9a84>] el1_dbg+0x24/0x80 softirqs last enabled at (211296): [<ffffffc080095f10>] handle_softirqs+0x820/0xbc8 softirqs last disabled at (210993): [<ffffffc080010288>] __do_softirq+0x18/0x20 ---[ end trace 0000000000000000 ]--- lan78xx 1-1:1.0 enu1: failed to kill vid 0081/0 Уязвимость функции netif_napi_del() ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Refuse to evaluate a method if arguments are missing As reported in [1], a platform firmware update that increased the number of method parameters and forgot to update a least one of its callers, caused ACPICA to crash due to use-after-free. Since this a result of a clear AML issue that arguably cannot be fixed up by the interpreter (it cannot produce missing data out of thin air), address it by making ACPICA refuse to evaluate a method if the caller attempts to pass fewer arguments than expected to it. Уязвимость компонента ACPICA ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Initialize obj_event->obj_sub_list before xa_insert The obj_event may be loaded immediately after inserted, then if the list_head is not initialized then we may get a poisonous pointer. This fixes the crash below: mlx5_core 0000:03:00.0: MLX5E: StrdRq(1) RqSz(8) StrdSz(2048) RxCqeCmprss(0 enhanced) mlx5_core.sf mlx5_core.sf.4: firmware version: 32.38.3056 mlx5_core 0000:03:00.0 en3f0pf0sf2002: renamed from eth0 mlx5_core.sf mlx5_core.sf.4: Rate limit: 127 rates are supported, range: 0Mbps to 195312Mbps IPv6: ADDRCONF(NETDEV_CHANGE): en3f0pf0sf2002: link becomes ready Unable to handle kernel NULL pointer dereference at virtual address 0000000000000060 Mem abort info: ESR = 0x96000006 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 Data abort info: ISV = 0, ISS = 0x00000006 CM = 0, WnR = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=00000007760fb000 [0000000000000060] pgd=000000076f6d7003, p4d=000000076f6d7003, pud=0000000777841003, pmd=0000000000000000 Internal error: Oops: 96000006 [#1] SMP Modules linked in: ipmb_host(OE) act_mirred(E) cls_flower(E) sch_ingress(E) mptcp_diag(E) udp_diag(E) raw_diag(E) unix_diag(E) tcp_diag(E) inet_diag(E) binfmt_misc(E) bonding(OE) rdma_ucm(OE) rdma_cm(OE) iw_cm(OE) ib_ipoib(OE) ib_cm(OE) isofs(E) cdrom(E) mst_pciconf(OE) ib_umad(OE) mlx5_ib(OE) ipmb_dev_int(OE) mlx5_core(OE) kpatch_15237886(OEK) mlxdevm(OE) auxiliary(OE) ib_uverbs(OE) ib_core(OE) psample(E) mlxfw(OE) tls(E) sunrpc(E) vfat(E) fat(E) crct10dif_ce(E) ghash_ce(E) sha1_ce(E) sbsa_gwdt(E) virtio_console(E) ext4(E) mbcache(E) jbd2(E) xfs(E) libcrc32c(E) mmc_block(E) virtio_net(E) net_failover(E) failover(E) sha2_ce(E) sha256_arm64(E) nvme(OE) nvme_core(OE) gpio_mlxbf3(OE) mlx_compat(OE) mlxbf_pmc(OE) i2c_mlxbf(OE) sdhci_of_dwcmshc(OE) pinctrl_mlxbf3(OE) mlxbf_pka(OE) gpio_generic(E) i2c_core(E) mmc_core(E) mlxbf_gige(OE) vitesse(E) pwr_mlxbf(OE) mlxbf_tmfifo(OE) micrel(E) mlxbf_bootctl(OE) virtio_ring(E) virtio(E) ipmi_devintf(E) ipmi_msghandler(E) [last unloaded: mst_pci] CPU: 11 PID: 20913 Comm: rte-worker-11 Kdump: loaded Tainted: G OE K 5.10.134-13.1.an8.aarch64 #1 Hardware name: https://www.mellanox.com BlueField-3 SmartNIC Main Card/BlueField-3 SmartNIC Main Card, BIOS 4.2.2.12968 Oct 26 2023 pstate: a0400089 (NzCv daIf +PAN -UAO -TCO BTYPE=--) pc : dispatch_event_fd+0x68/0x300 [mlx5_ib] lr : devx_event_notifier+0xcc/0x228 [mlx5_ib] sp : ffff80001005bcf0 x29: ffff80001005bcf0 x28: 0000000000000001 x27: ffff244e0740a1d8 x26: ffff244e0740a1d0 x25: ffffda56beff5ae0 x24: ffffda56bf911618 x23: ffff244e0596a480 x22: ffff244e0596a480 x21: ffff244d8312ad90 x20: ffff244e0596a480 x19: fffffffffffffff0 x18: 0000000000000000 x17: 0000000000000000 x16: ffffda56be66d620 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000040 x10: ffffda56bfcafb50 x9 : ffffda5655c25f2c x8 : 0000000000000010 x7 : 0000000000000000 x6 : ffff24545a2e24b8 x5 : 0000000000000003 x4 : ffff80001005bd28 x3 : 0000000000000000 x2 : 0000000000000000 x1 : ffff244e0596a480 x0 : ffff244d8312ad90 Call trace: dispatch_event_fd+0x68/0x300 [mlx5_ib] devx_event_notifier+0xcc/0x228 [mlx5_ib] atomic_notifier_call_chain+0x58/0x80 mlx5_eq_async_int+0x148/0x2b0 [mlx5_core] atomic_notifier_call_chain+0x58/0x80 irq_int_handler+0x20/0x30 [mlx5_core] __handle_irq_event_percpu+0x60/0x220 handle_irq_event_percpu+0x3c/0x90 handle_irq_event+0x58/0x158 handle_fasteoi_irq+0xfc/0x188 generic_handle_irq+0x34/0x48 ... Уязвимость функции obj_event() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gt: Fix timeline left held on VMA alloc error The following error has been reported sporadically by CI when a test unbinds the i915 driver on a ring submission platform: <4> [239.330153] ------------[ cut here ]------------ <4> [239.330166] i915 0000:00:02.0: [drm] drm_WARN_ON(dev_priv->mm.shrink_count) <4> [239.330196] WARNING: CPU: 1 PID: 18570 at drivers/gpu/drm/i915/i915_gem.c:1309 i915_gem_cleanup_early+0x13e/0x150 [i915] ... <4> [239.330640] RIP: 0010:i915_gem_cleanup_early+0x13e/0x150 [i915] ... <4> [239.330942] Call Trace: <4> [239.330944] <TASK> <4> [239.330949] i915_driver_late_release+0x2b/0xa0 [i915] <4> [239.331202] i915_driver_release+0x86/0xa0 [i915] <4> [239.331482] devm_drm_dev_init_release+0x61/0x90 <4> [239.331494] devm_action_release+0x15/0x30 <4> [239.331504] release_nodes+0x3d/0x120 <4> [239.331517] devres_release_all+0x96/0xd0 <4> [239.331533] device_unbind_cleanup+0x12/0x80 <4> [239.331543] device_release_driver_internal+0x23a/0x280 <4> [239.331550] ? bus_find_device+0xa5/0xe0 <4> [239.331563] device_driver_detach+0x14/0x20 ... <4> [357.719679] ---[ end trace 0000000000000000 ]--- If the test also unloads the i915 module then that's followed with: <3> [357.787478] ============================================================================= <3> [357.788006] BUG i915_vma (Tainted: G U W N ): Objects remaining on __kmem_cache_shutdown() <3> [357.788031] ----------------------------------------------------------------------------- <3> [357.788204] Object 0xffff888109e7f480 @offset=29824 <3> [357.788670] Allocated in i915_vma_instance+0xee/0xc10 [i915] age=292729 cpu=4 pid=2244 <4> [357.788994] i915_vma_instance+0xee/0xc10 [i915] <4> [357.789290] init_status_page+0x7b/0x420 [i915] <4> [357.789532] intel_engines_init+0x1d8/0x980 [i915] <4> [357.789772] intel_gt_init+0x175/0x450 [i915] <4> [357.790014] i915_gem_init+0x113/0x340 [i915] <4> [357.790281] i915_driver_probe+0x847/0xed0 [i915] <4> [357.790504] i915_pci_probe+0xe6/0x220 [i915] ... Closer analysis of CI results history has revealed a dependency of the error on a few IGT tests, namely: - igt@api_intel_allocator@fork-simple-stress-signal, - igt@api_intel_allocator@two-level-inception-interruptible, - igt@gem_linear_blits@interruptible, - igt@prime_mmap_coherency@ioctl-errors, which invisibly trigger the issue, then exhibited with first driver unbind attempt. All of the above tests perform actions which are actively interrupted with signals. Further debugging has allowed to narrow that scope down to DRM_IOCTL_I915_GEM_EXECBUFFER2, and ring_context_alloc(), specific to ring submission, in particular. If successful then that function, or its execlists or GuC submission equivalent, is supposed to be called only once per GEM context engine, followed by raise of a flag that prevents the function from being called again. The function is expected to unwind its internal errors itself, so it may be safely called once more after it returns an error. In case of ring submission, the function first gets a reference to the engine's legacy timeline and then allocates a VMA. If the VMA allocation fails, e.g. when i915_vma_instance() called from inside is interrupted with a signal, then ring_context_alloc() fails, leaving the timeline held referenced. On next I915_GEM_EXECBUFFER2 IOCTL, another reference to the timeline is got, and only that last one is put on successful completion. As a consequence, the legacy timeline, with its underlying engine status page's VMA object, is still held and not released on driver unbind. Get the legacy timeline only after successful allocation of the context engine's VMA. v2: Add a note on other submission methods (Krzysztof Karas): Both execlists and GuC submission use lrc_alloc() which seems free from a similar issue. (cherry picked from commit cc43422b3cc79eacff4c5a8ba0d224688ca9dd4f) Уязвимость функции __kmem_cache_shutdown ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: altmodes/displayport: do not index invalid pin_assignments A poorly implemented DisplayPort Alt Mode port partner can indicate that its pin assignment capabilities are greater than the maximum value, DP_PIN_ASSIGN_F. In this case, calls to pin_assignment_show will cause a BRK exception due to an out of bounds array access. Prevent for loop in pin_assignment_show from accessing invalid values in pin_assignments by adding DP_PIN_ASSIGN_MAX value in typec_dp.h and using i < DP_PIN_ASSIGN_MAX as a loop condition. Уязвимость компонента displayport ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSv4/pNFS: Fix a race to wake on NFS_LAYOUT_DRAIN We found a few different systems hung up in writeback waiting on the same page lock, and one task waiting on the NFS_LAYOUT_DRAIN bit in pnfs_update_layout(), however the pnfs_layout_hdr's plh_outstanding count was zero. It seems most likely that this is another race between the waiter and waker similar to commit ed0172af5d6f ("SUNRPC: Fix a race to wake a sync task"). Fix it up by applying the advised barrier. Уязвимость функции pnfs_update_layout ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regulator: gpio: Fix the out-of-bounds access to drvdata::gpiods drvdata::gpiods is supposed to hold an array of 'gpio_desc' pointers. But the memory is allocated for only one pointer. This will lead to out-of-bounds access later in the code if 'config::ngpios' is > 1. So fix the code to allocate enough memory to hold 'config::ngpios' of GPIO descriptors. While at it, also move the check for memory allocation failure to be below the allocation to make it more readable. Уязвимость модуля drivers/regulator/gpio-regulator.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: export anon_inode_make_secure_inode() and fix secretmem LSM bypass Export anon_inode_make_secure_inode() to allow KVM guest_memfd to create anonymous inodes with proper security context. This replaces the current pattern of calling alloc_anon_inode() followed by inode_init_security_anon() for creating security context manually. This change also fixes a security regression in secretmem where the S_PRIVATE flag was not cleared after alloc_anon_inode(), causing LSM/SELinux checks to be bypassed for secretmem file descriptors. As guest_memfd currently resides in the KVM module, we need to export this symbol for use outside the core kernel. In the future, guest_memfd might be moved to core-mm, at which point the symbols no longer would have to be exported. When/if that happens is still unclear. Уязвимость функции anon_inode_make_secure_inode() ядра операционной системы Linux связана с истощением дескриптора файлов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: Fix NULL pointer dereference in core_scsi3_decode_spec_i_port() The function core_scsi3_decode_spec_i_port(), in its error code path, unconditionally calls core_scsi3_lunacl_undepend_item() passing the dest_se_deve pointer, which may be NULL. This can lead to a NULL pointer dereference if dest_se_deve remains unset. SPC-3 PR SPEC_I_PT: Unable to locate dest_tpg Unable to handle kernel paging request at virtual address dfff800000000012 Call trace: core_scsi3_lunacl_undepend_item+0x2c/0xf0 [target_core_mod] (P) core_scsi3_decode_spec_i_port+0x120c/0x1c30 [target_core_mod] core_scsi3_emulate_pro_register+0x6b8/0xcd8 [target_core_mod] target_scsi3_emulate_pr_out+0x56c/0x840 [target_core_mod] Fix this by adding a NULL check before calling core_scsi3_lunacl_undepend_item() Уязвимость функции core_scsi3_decode_spec_i_port() компонента scsi ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs: Clean up /proc/net/rpc/nfs when nfs_fs_proc_net_init() fails. syzbot reported a warning below [1] following a fault injection in nfs_fs_proc_net_init(). [0] When nfs_fs_proc_net_init() fails, /proc/net/rpc/nfs is not removed. Later, rpc_proc_exit() tries to remove /proc/net/rpc, and the warning is logged as the directory is not empty. Let's handle the error of nfs_fs_proc_net_init() properly. [0]: FAULT_INJECTION: forcing a failure. name failslab, interval 1, probability 0, space 0, times 0 CPU: 1 UID: 0 PID: 6120 Comm: syz.2.27 Not tainted 6.16.0-rc1-syzkaller-00010-g2c4a1f3fe03e #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:123) should_fail_ex (lib/fault-inject.c:73 lib/fault-inject.c:174) should_failslab (mm/failslab.c:46) kmem_cache_alloc_noprof (mm/slub.c:4178 mm/slub.c:4204) __proc_create (fs/proc/generic.c:427) proc_create_reg (fs/proc/generic.c:554) proc_create_net_data (fs/proc/proc_net.c:120) nfs_fs_proc_net_init (fs/nfs/client.c:1409) nfs_net_init (fs/nfs/inode.c:2600) ops_init (net/core/net_namespace.c:138) setup_net (net/core/net_namespace.c:443) copy_net_ns (net/core/net_namespace.c:576) create_new_namespaces (kernel/nsproxy.c:110) unshare_nsproxy_namespaces (kernel/nsproxy.c:218 (discriminator 4)) ksys_unshare (kernel/fork.c:3123) __x64_sys_unshare (kernel/fork.c:3190) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) </TASK> [1]: remove_proc_entry: removing non-empty directory 'net/rpc', leaking at least 'nfs' WARNING: CPU: 1 PID: 6120 at fs/proc/generic.c:727 remove_proc_entry+0x45e/0x530 fs/proc/generic.c:727 Modules linked in: CPU: 1 UID: 0 PID: 6120 Comm: syz.2.27 Not tainted 6.16.0-rc1-syzkaller-00010-g2c4a1f3fe03e #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 RIP: 0010:remove_proc_entry+0x45e/0x530 fs/proc/generic.c:727 Code: 3c 02 00 0f 85 85 00 00 00 48 8b 93 d8 00 00 00 4d 89 f0 4c 89 e9 48 c7 c6 40 ba a2 8b 48 c7 c7 60 b9 a2 8b e8 33 81 1d ff 90 <0f> 0b 90 90 e9 5f fe ff ff e8 04 69 5e ff 90 48 b8 00 00 00 00 00 RSP: 0018:ffffc90003637b08 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffff88805f534140 RCX: ffffffff817a92c8 RDX: ffff88807da99e00 RSI: ffffffff817a92d5 RDI: 0000000000000001 RBP: ffff888033431ac0 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000001 R12: ffff888033431a00 R13: ffff888033431ae4 R14: ffff888033184724 R15: dffffc0000000000 FS: 0000555580328500(0000) GS:ffff888124a62000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f71733743e0 CR3: 000000007f618000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> sunrpc_exit_net+0x46/0x90 net/sunrpc/sunrpc_syms.c:76 ops_exit_list net/core/net_namespace.c:200 [inline] ops_undo_list+0x2eb/0xab0 net/core/net_namespace.c:253 setup_net+0x2e1/0x510 net/core/net_namespace.c:457 copy_net_ns+0x2a6/0x5f0 net/core/net_namespace.c:574 create_new_namespaces+0x3ea/0xa90 kernel/nsproxy.c:110 unshare_nsproxy_namespaces+0xc0/0x1f0 kernel/nsproxy.c:218 ksys_unshare+0x45b/0xa40 kernel/fork.c:3121 __do_sys_unshare kernel/fork.c:3192 [inline] __se_sys_unshare kernel/fork.c:3190 [inline] __x64_sys_unshare+0x31/0x40 kernel/fork.c:3190 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x490 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fa1a6b8e929 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c ---truncated--- Уязвимость функции nfs_fs_proc_net_init() файловой системы NFS ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtk-sd: Prevent memory corruption from DMA map failure If msdc_prepare_data() fails to map the DMA region, the request is not prepared for data receiving, but msdc_start_data() proceeds the DMA with previous setting. Since this will lead a memory corruption, we have to stop the request operation soon after the msdc_prepare_data() fails to prepare it. Уязвимость функции msdc_prepare_data() компонента mtk-sd ядра операционной системы Linux связана с ошибками использования памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock/vmci: Clear the vmci transport packet properly when initializing it In vmci_transport_packet_init memset the vmci_transport_packet before populating the fields to avoid any uninitialised data being left in the structure. Уязвимость функции vmci_transport_packet() ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: displayport: Fix potential deadlock The deadlock can occur due to a recursive lock acquisition of `cros_typec_altmode_data::mutex`. The call chain is as follows: 1. cros_typec_altmode_work() acquires the mutex 2. typec_altmode_vdm() -> dp_altmode_vdm() -> 3. typec_altmode_exit() -> cros_typec_altmode_exit() 4. cros_typec_altmode_exit() attempts to acquire the mutex again To prevent this, defer the `typec_altmode_exit()` call by scheduling it rather than calling it directly from within the mutex-protected context. Уязвимость функции cros_typec_altmode_work() ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath6kl: remove WARN on bad firmware input If the firmware gives bad input, that's nothing to do with the driver's stack at this point etc., so the WARN_ON() doesn't add any value. Additionally, this is one of the top syzbot reports now. Just print a message, and as an added bonus, print the sizes too. Уязвимость компонента ath6kl ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Fix another leak in the submit error path put_unused_fd() doesn't free the installed file, if we've already done fd_install(). So we need to also free the sync_file. Patchwork: https://patchwork.freedesktop.org/patch/653583/ Уязвимость функции put_unused_fd() ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Fix a fence leak in submit error path In error paths, we could unref the submit without calling drm_sched_entity_push_job(), so msm_job_free() will never get called. Since drm_sched_job_cleanup() will NULL out the s_fence, we can use that to detect this case. Patchwork: https://patchwork.freedesktop.org/patch/653584/ Уязвимость функции drm_sched_entity_push_job() компонента msm ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: dell-wmi-sysman: Fix WMI data block retrieval in sysfs callbacks After retrieving WMI data blocks in sysfs callbacks, check for the validity of them before dereferencing their content. Уязвимость компонента dell-wmi-sysman ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: check return result of sb_min_blocksize Syzkaller reports an "UBSAN: shift-out-of-bounds in squashfs_bio_read" bug. Syzkaller forks multiple processes which after mounting the Squashfs filesystem, issues an ioctl("/dev/loop0", LOOP_SET_BLOCK_SIZE, 0x8000). Now if this ioctl occurs at the same time another process is in the process of mounting a Squashfs filesystem on /dev/loop0, the failure occurs. When this happens the following code in squashfs_fill_super() fails. ---- msblk->devblksize = sb_min_blocksize(sb, SQUASHFS_DEVBLK_SIZE); msblk->devblksize_log2 = ffz(~msblk->devblksize); ---- sb_min_blocksize() returns 0, which means msblk->devblksize is set to 0. As a result, ffz(~msblk->devblksize) returns 64, and msblk->devblksize_log2 is set to 64. This subsequently causes the UBSAN: shift-out-of-bounds in fs/squashfs/block.c:195:36 shift exponent 64 is too large for 64-bit type 'u64' (aka 'unsigned long long') This commit adds a check for a 0 return by sb_min_blocksize(). Уязвимость функции squashfs_fill_super() компонента Squashfs ядра операционной системы Linux связана с чтением за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFC: nci: uart: Set tty->disc_data only in success path Setting tty->disc_data before opening the NCI device means we need to clean it up on error paths. This also opens some short window if device starts sending data, even before NCIUARTSETDRIVER IOCTL succeeded (broken hardware?). Close the window by exposing tty->disc_data only on the success path, when opening of the NCI device and try_module_get() succeeds. The code differs in error path in one aspect: tty->disc_data won't be ever assigned thus NULL-ified. This however should not be relevant difference, because of "tty->disc_data=NULL" in nci_uart_tty_open(). Уязвимость функции try_module_get() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Release rproc->clean_table after rproc_attach() fails When rproc->state = RPROC_DETACHED is attached to remote processor through rproc_attach(), if rproc_handle_resources() returns failure, then the clean table should be released, otherwise the following memory leak will occur. unreferenced object 0xffff000086a99800 (size 1024): comm "kworker/u12:3", pid 59, jiffies 4294893670 (age 121.140s) hex dump (first 32 bytes): 00 00 00 00 00 80 00 00 00 00 00 00 00 00 10 00 ............ 00 00 00 00 00 00 08 00 00 00 00 00 00 00 00 00 ............ backtrace: [<000000008bbe4ca8>] slab_post_alloc_hook+0x98/0x3fc [<000000003b8a272b>] __kmem_cache_alloc_node+0x13c/0x230 [<000000007a507c51>] __kmalloc_node_track_caller+0x5c/0x260 [<0000000037818dae>] kmemdup+0x34/0x60 [<00000000610f7f57>] rproc_boot+0x35c/0x56c [<0000000065f8871a>] rproc_add+0x124/0x17c [<00000000497416ee>] imx_rproc_probe+0x4ec/0x5d4 [<000000003bcaa37d>] platform_probe+0x68/0xd8 [<00000000771577f9>] really_probe+0x110/0x27c [<00000000531fea59>] __driver_probe_device+0x78/0x12c [<0000000080036a04>] driver_probe_device+0x3c/0x118 [<000000007e0bddcb>] __device_attach_driver+0xb8/0xf8 [<000000000cf1fa33>] bus_for_each_drv+0x84/0xe4 [<000000001a53b53e>] __device_attach+0xfc/0x18c [<00000000d1a2a32c>] device_initial_probe+0x14/0x20 [<00000000d8f8b7ae>] bus_probe_device+0xb0/0xb4 unreferenced object 0xffff0000864c9690 (size 16): Уязвимость функции rproc_attach() компонента remoteproc ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Cleanup acquired resources when rproc_handle_resources() fails in rproc_attach() When rproc->state = RPROC_DETACHED and rproc_attach() is used to attach to the remote processor, if rproc_handle_resources() returns a failure, the resources allocated by imx_rproc_prepare() should be released, otherwise the following memory leak will occur. Since almost the same thing is done in imx_rproc_prepare() and rproc_resource_cleanup(), Function rproc_resource_cleanup() is able to deal with empty lists so it is better to fix the "goto" statements in rproc_attach(). replace the "unprepare_device" goto statement with "clean_up_resources" and get rid of the "unprepare_device" label. unreferenced object 0xffff0000861c5d00 (size 128): comm "kworker/u12:3", pid 59, jiffies 4294893509 (age 149.220s) hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 02 88 00 00 00 00 00 00 10 00 00 00 00 00 ............ backtrace: [<00000000f949fe18>] slab_post_alloc_hook+0x98/0x37c [<00000000adbfb3e7>] __kmem_cache_alloc_node+0x138/0x2e0 [<00000000521c0345>] kmalloc_trace+0x40/0x158 [<000000004e330a49>] rproc_mem_entry_init+0x60/0xf8 [<000000002815755e>] imx_rproc_prepare+0xe0/0x180 [<0000000003f61b4e>] rproc_boot+0x2ec/0x528 [<00000000e7e994ac>] rproc_add+0x124/0x17c [<0000000048594076>] imx_rproc_probe+0x4ec/0x5d4 [<00000000efc298a1>] platform_probe+0x68/0xd8 [<00000000110be6fe>] really_probe+0x110/0x27c [<00000000e245c0ae>] __driver_probe_device+0x78/0x12c [<00000000f61f6f5e>] driver_probe_device+0x3c/0x118 [<00000000a7874938>] __device_attach_driver+0xb8/0xf8 [<0000000065319e69>] bus_for_each_drv+0x84/0xe4 [<00000000db3eb243>] __device_attach+0xfc/0x18c [<0000000072e4e1a4>] device_initial_probe+0x14/0x20 Уязвимость функции rproc_handle_resources() компонента remoteproc ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: carl9170: do not ping device which has failed to load firmware Syzkaller reports [1, 2] crashes caused by an attempts to ping the device which has failed to load firmware. Since such a device doesn't pass 'ieee80211_register_hw()', an internal workqueue managed by 'ieee80211_queue_work()' is not yet created and an attempt to queue work on it causes null-ptr-deref. [1] https://syzkaller.appspot.com/bug?extid=9a4aec827829942045ff [2] https://syzkaller.appspot.com/bug?extid=0d8afba53e8fb2633217 Уязвимость функции carl9170_usb_rx_complete() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: lan743x: Modify the EEPROM and OTP size for PCI1xxxx devices Maximum OTP and EEPROM size for hearthstone PCI1xxxx devices are 8 Kb and 64 Kb respectively. Adjust max size definitions and return correct EEPROM length based on device. Also prevent out-of-bound read/write. Уязвимость компонента net ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf: Fix sample vs do_exit() Baisheng Gao reported an ARM64 crash, which Mark decoded as being a synchronous external abort -- most likely due to trying to access MMIO in bad ways. The crash further shows perf trying to do a user stack sample while in exit_mmap()'s tlb_finish_mmu() -- i.e. while tearing down the address space it is trying to access. It turns out that we stop perf after we tear down the userspace mm; a receipie for disaster, since perf likes to access userspace for various reasons. Flip this order by moving up where we stop perf in do_exit(). Additionally, harden PERF_SAMPLE_CALLCHAIN and PERF_SAMPLE_STACK_USER to abort when the current task does not have an mm (exit_mm() makes sure to set current->mm = NULL; before commencing with the actual teardown). Such that CPU wide events don't trip on this same problem. Уязвимость функции do_exit() компонента perf ядра операционной системы Linux связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: tegra: check msg length in SMBUS block read For SMBUS block read, do not continue to read if the message length passed from the device is '0' or greater than the maximum allowed bytes. Уязвимость компонента i2c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: ims-pcu - check record size in ims_pcu_flash_firmware() The "len" variable comes from the firmware and we generally do trust firmware, but it's always better to double check. If the "len" is too large it could result in memory corruption when we do "memcpy(fragment->data, rec->data, len);" Уязвимость функции ims_pcu_flash_firmware ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: nfsd4_spo_must_allow() must check this is a v4 compound request If the request being processed is not a v4 compound request, then examining the cstate can have undefined results. This patch adds a check that the rpc procedure being executed (rq_procinfo) is the NFSPROC4_COMPOUND procedure. Уязвимость функции nfsd4_spo_must_allow() ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix potential use-after-free in oplock/lease break ack If ksmbd_iov_pin_rsp return error, use-after-free can happen by accessing opinfo->state and opinfo_put and ksmbd_fd_put could called twice. Уязвимость функции ksmbd_iov_pin_rsp() компонента ksmbd ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Set DMA unmap len correctly for XDP_REDIRECT When transmitting an XDP_REDIRECT packet, call dma_unmap_len_set() with the proper length instead of 0. This bug triggers this warning on a system with IOMMU enabled: WARNING: CPU: 36 PID: 0 at drivers/iommu/dma-iommu.c:842 __iommu_dma_unmap+0x159/0x170 RIP: 0010:__iommu_dma_unmap+0x159/0x170 Code: a8 00 00 00 00 48 c7 45 b0 00 00 00 00 48 c7 45 c8 00 00 00 00 48 c7 45 a0 ff ff ff ff 4c 89 45 b8 4c 89 45 c0 e9 77 ff ff ff <0f> 0b e9 60 ff ff ff e8 8b bf 6a 00 66 66 2e 0f 1f 84 00 00 00 00 RSP: 0018:ff22d31181150c88 EFLAGS: 00010206 RAX: 0000000000002000 RBX: 00000000e13a0000 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ff22d31181150cf0 R08: ff22d31181150ca8 R09: 0000000000000000 R10: 0000000000000000 R11: ff22d311d36c9d80 R12: 0000000000001000 R13: ff13544d10645010 R14: ff22d31181150c90 R15: ff13544d0b2bac00 FS: 0000000000000000(0000) GS:ff13550908a00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00005be909dacff8 CR3: 0008000173408003 CR4: 0000000000f71ef0 PKRU: 55555554 Call Trace: <IRQ> ? show_regs+0x6d/0x80 ? __warn+0x89/0x160 ? __iommu_dma_unmap+0x159/0x170 ? report_bug+0x17e/0x1b0 ? handle_bug+0x46/0x90 ? exc_invalid_op+0x18/0x80 ? asm_exc_invalid_op+0x1b/0x20 ? __iommu_dma_unmap+0x159/0x170 ? __iommu_dma_unmap+0xb3/0x170 iommu_dma_unmap_page+0x4f/0x100 dma_unmap_page_attrs+0x52/0x220 ? srso_alias_return_thunk+0x5/0xfbef5 ? xdp_return_frame+0x2e/0xd0 bnxt_tx_int_xdp+0xdf/0x440 [bnxt_en] __bnxt_poll_work_done+0x81/0x1e0 [bnxt_en] bnxt_poll+0xd3/0x1e0 [bnxt_en] Уязвимость функции dma_unmap_len_set() компонента bnxt_en ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: flowtable: account for Ethernet header in nf_flow_pppoe_proto() syzbot found a potential access to uninit-value in nf_flow_pppoe_proto() Blamed commit forgot the Ethernet header. BUG: KMSAN: uninit-value in nf_flow_offload_inet_hook+0x7e4/0x940 net/netfilter/nf_flow_table_inet.c:27 nf_flow_offload_inet_hook+0x7e4/0x940 net/netfilter/nf_flow_table_inet.c:27 nf_hook_entry_hookfn include/linux/netfilter.h:157 [inline] nf_hook_slow+0xe1/0x3d0 net/netfilter/core.c:623 nf_hook_ingress include/linux/netfilter_netdev.h:34 [inline] nf_ingress net/core/dev.c:5742 [inline] __netif_receive_skb_core+0x4aff/0x70c0 net/core/dev.c:5837 __netif_receive_skb_one_core net/core/dev.c:5975 [inline] __netif_receive_skb+0xcc/0xac0 net/core/dev.c:6090 netif_receive_skb_internal net/core/dev.c:6176 [inline] netif_receive_skb+0x57/0x630 net/core/dev.c:6235 tun_rx_batched+0x1df/0x980 drivers/net/tun.c:1485 tun_get_user+0x4ee0/0x6b40 drivers/net/tun.c:1938 tun_chr_write_iter+0x3e9/0x5c0 drivers/net/tun.c:1984 new_sync_write fs/read_write.c:593 [inline] vfs_write+0xb4b/0x1580 fs/read_write.c:686 ksys_write fs/read_write.c:738 [inline] __do_sys_write fs/read_write.c:749 [inline] Уязвимость функции nf_flow_pppoe_proto() компонента netfilter ядра операционной системы Linux связана c использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nbd: fix uaf in nbd_genl_connect() error path There is a use-after-free issue in nbd: block nbd6: Receive control failed (result -104) block nbd6: shutting down sockets ================================================================== BUG: KASAN: slab-use-after-free in recv_work+0x694/0xa80 drivers/block/nbd.c:1022 Write of size 4 at addr ffff8880295de478 by task kworker/u33:0/67 CPU: 2 UID: 0 PID: 67 Comm: kworker/u33:0 Not tainted 6.15.0-rc5-syzkaller-00123-g2c89c1b655c0 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: nbd6-recv recv_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0xef/0x1a0 mm/kasan/generic.c:189 instrument_atomic_read_write include/linux/instrumented.h:96 [inline] atomic_dec include/linux/atomic/atomic-instrumented.h:592 [inline] recv_work+0x694/0xa80 drivers/block/nbd.c:1022 process_one_work+0x9cc/0x1b70 kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3319 [inline] worker_thread+0x6c8/0xf10 kernel/workqueue.c:3400 kthread+0x3c2/0x780 kernel/kthread.c:464 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:153 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> nbd_genl_connect() does not properly stop the device on certain error paths after nbd_start_device() has been called. This causes the error path to put nbd->config while recv_work continue to use the config after putting it, leading to use-after-free in recv_work. This patch moves nbd_start_device() after the backend file creation. Уязвимость функции nbd_genl_connect() компонента nbd ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: raid10: cleanup memleak at raid10_make_request If raid10_read_request or raid10_write_request registers a new request and the REQ_NOWAIT flag is set, the code does not free the malloc from the mempool. unreferenced object 0xffff8884802c3200 (size 192): comm "fio", pid 9197, jiffies 4298078271 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 88 41 02 00 00 00 00 00 .........A...... 08 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc c1a049a2): __kmalloc+0x2bb/0x450 mempool_alloc+0x11b/0x320 raid10_make_request+0x19e/0x650 [raid10] md_handle_request+0x3b3/0x9e0 __submit_bio+0x394/0x560 __submit_bio_noacct+0x145/0x530 submit_bio_noacct_nocheck+0x682/0x830 __blkdev_direct_IO_async+0x4dc/0x6b0 blkdev_read_iter+0x1e5/0x3b0 __io_read+0x230/0x1110 io_read+0x13/0x30 io_issue_sqe+0x134/0x1180 io_submit_sqes+0x48c/0xe90 __do_sys_io_uring_enter+0x574/0x8b0 do_syscall_64+0x5c/0xe0 entry_SYSCALL_64_after_hwframe+0x76/0x7e V4: changing backing tree to see if CKI tests will pass. The patch code has not changed between any versions. Уязвимость функции raid10_make_request() компонента raid10 ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md/raid1: Fix stack memory use after return in raid1_reshape In the raid1_reshape function, newpool is allocated on the stack and assigned to conf->r1bio_pool. This results in conf->r1bio_pool.wait.head pointing to a stack address. Accessing this address later can lead to a kernel panic. Example access path: raid1_reshape() { // newpool is on the stack mempool_t newpool, oldpool; // initialize newpool.wait.head to stack address mempool_init(&newpool, ...); conf->r1bio_pool = newpool; } raid1_read_request() or raid1_write_request() { alloc_r1bio() { mempool_alloc() { // if pool->alloc fails remove_element() { --pool->curr_nr; } } } } mempool_free() { if (pool->curr_nr < pool->min_nr) { // pool->wait.head is a stack address // wake_up() will try to access this invalid address // which leads to a kernel panic return; wake_up(&pool->wait); } } Fix: reinit conf->r1bio_pool.wait after assigning newpool. Уязвимость функции raid1_reshape() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: u_serial: Fix race condition in TTY wakeup A race condition occurs when gs_start_io() calls either gs_start_rx() or gs_start_tx(), as those functions briefly drop the port_lock for usb_ep_queue(). This allows gs_close() and gserial_disconnect() to clear port.tty and port_usb, respectively. Use the null-safe TTY Port helper function to wake up TTY. Example CPU1: CPU2: gserial_connect() // lock gs_close() // await lock gs_start_rx() // unlock usb_ep_queue() gs_close() // lock, reset port.tty and unlock gs_start_rx() // lock tty_wakeup() // NPE Уязвимость функции gs_start_io() компонента usb ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipmi:msghandler: Fix potential memory corruption in ipmi_create_user() The "intf" list iterator is an invalid pointer if the correct "intf->intf_num" is not found. Calling atomic_dec(&intf->nr_users) on and invalid pointer will lead to memory corruption. We don't really need to call atomic_dec() if we haven't called atomic_add_return() so update the if (intf->in_shutdown) path as well. Уязвимость функции ipmi_create_user() компонента drivers/char/ipmi/ipmi_msghandler.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: Abort __tc_modify_qdisc if parent class does not exist Lion's patch [1] revealed an ancient bug in the qdisc API. Whenever a user creates/modifies a qdisc specifying as a parent another qdisc, the qdisc API will, during grafting, detect that the user is not trying to attach to a class and reject. However grafting is performed after qdisc_create (and thus the qdiscs' init callback) is executed. In qdiscs that eventually call qdisc_tree_reduce_backlog during init or change (such as fq, hhf, choke, etc), an issue arises. For example, executing the following commands: sudo tc qdisc add dev lo root handle a: htb default 2 sudo tc qdisc add dev lo parent a: handle beef fq Qdiscs such as fq, hhf, choke, etc unconditionally invoke qdisc_tree_reduce_backlog() in their control path init() or change() which then causes a failure to find the child class; however, that does not stop the unconditional invocation of the assumed child qdisc's qlen_notify with a null class. All these qdiscs make the assumption that class is non-null. The solution is ensure that qdisc_leaf() which looks up the parent class, and is invoked prior to qdisc_create(), should return failure on not finding the class. In this patch, we leverage qdisc_leaf to return ERR_PTRs whenever the parentid doesn't correspond to a class, so that we can detect it earlier on and abort before qdisc_create is called. [1] https://lore.kernel.org/netdev/d912cbd7-193b-4269-9857-525bee8bbb6a@gmail.com/ Уязвимость функции qdisc_tree_reduce_backlog() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix NULL pointer dereference in vcc_sendmsg() atmarpd_dev_ops does not implement the send method, which may cause crash as bellow. BUG: kernel NULL pointer dereference, address: 0000000000000000 PGD 0 P4D 0 Oops: Oops: 0010 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 5324 Comm: syz.0.0 Not tainted 6.15.0-rc6-syzkaller-00346-g5723cc3450bc #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:0x0 Code: Unable to access opcode bytes at 0xffffffffffffffd6. RSP: 0018:ffffc9000d3cf778 EFLAGS: 00010246 RAX: 1ffffffff1910dd1 RBX: 00000000000000c0 RCX: dffffc0000000000 RDX: ffffc9000dc82000 RSI: ffff88803e4c4640 RDI: ffff888052cd0000 RBP: ffffc9000d3cf8d0 R08: ffff888052c9143f R09: 1ffff1100a592287 R10: dffffc0000000000 R11: 0000000000000000 R12: 1ffff92001a79f00 R13: ffff888052cd0000 R14: ffff88803e4c4640 R15: ffffffff8c886e88 FS: 00007fbc762566c0(0000) GS:ffff88808d6c2000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffffffffd6 CR3: 0000000041f1b000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> vcc_sendmsg+0xa10/0xc50 net/atm/common.c:644 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:727 ____sys_sendmsg+0x52d/0x830 net/socket.c:2566 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2620 __sys_sendmmsg+0x227/0x430 net/socket.c:2709 __do_sys_sendmmsg net/socket.c:2736 [inline] __se_sys_sendmmsg net/socket.c:2733 [inline] __x64_sys_sendmmsg+0xa0/0xc0 net/socket.c:2733 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf6/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции vcc_sendmsg() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix infinite recursive call of clip_push(). syzbot reported the splat below. [0] This happens if we call ioctl(ATMARP_MKIP) more than once. During the first call, clip_mkip() sets clip_push() to vcc->push(), and the second call copies it to clip_vcc->old_push(). Later, when the socket is close()d, vcc_destroy_socket() passes NULL skb to clip_push(), which calls clip_vcc->old_push(), triggering the infinite recursion. Let's prevent the second ioctl(ATMARP_MKIP) by checking vcc->user_back, which is allocated by the first call as clip_vcc. Note also that we use lock_sock() to prevent racy calls. [0]: BUG: TASK stack guard page was hit at ffffc9000d66fff8 (stack is ffffc9000d670000..ffffc9000d678000) Oops: stack guard page: 0000 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 5322 Comm: syz.0.0 Not tainted 6.16.0-rc4-syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:clip_push+0x5/0x720 net/atm/clip.c:191 Code: e0 8f aa 8c e8 1c ad 5b fa eb ae 66 2e 0f 1f 84 00 00 00 00 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa 55 <41> 57 41 56 41 55 41 54 53 48 83 ec 20 48 89 f3 49 89 fd 48 bd 00 RSP: 0018:ffffc9000d670000 EFLAGS: 00010246 RAX: 1ffff1100235a4a5 RBX: ffff888011ad2508 RCX: ffff8880003c0000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff888037f01000 RBP: dffffc0000000000 R08: ffffffff8fa104f7 R09: 1ffffffff1f4209e R10: dffffc0000000000 R11: ffffffff8a99b300 R12: ffffffff8a99b300 R13: ffff888037f01000 R14: ffff888011ad2500 R15: ffff888037f01578 FS: 000055557ab6d500(0000) GS:ffff88808d250000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffc9000d66fff8 CR3: 0000000043172000 CR4: 0000000000352ef0 Call Trace: <TASK> clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 ... clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 vcc_destroy_socket net/atm/common.c:183 [inline] vcc_release+0x157/0x460 net/atm/common.c:205 __sock_release net/socket.c:647 [inline] sock_close+0xc0/0x240 net/socket.c:1391 __fput+0x449/0xa70 fs/file_table.c:465 task_work_run+0x1d1/0x260 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xec/0x110 kernel/entry/common.c:114 exit_to_user_mode_prepare include/linux/entry-common.h:330 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:414 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:449 [inline] do_syscall_64+0x2bd/0x3b0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff31c98e929 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fffb5aa1f78 EFLAGS: 00000246 ORIG_RAX: 00000000000001b4 RAX: 0000000000000000 RBX: 0000000000012747 RCX: 00007ff31c98e929 RDX: 0000000000000000 RSI: 000000000000001e RDI: 0000000000000003 RBP: 00007ff31cbb7ba0 R08: 0000000000000001 R09: 0000000db5aa226f R10: 00007ff31c7ff030 R11: 0000000000000246 R12: 00007ff31cbb608c R13: 00007ff31cbb6080 R14: ffffffffffffffff R15: 00007fffb5aa2090 </TASK> Modules linked in: Уязвимость функции clip_push() компонента net/atm/clip.c ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix potential null-ptr-deref in to_atmarpd(). atmarpd is protected by RTNL since commit f3a0592b37b8 ("[ATM]: clip causes unregister hang"). However, it is not enough because to_atmarpd() is called without RTNL, especially clip_neigh_solicit() / neigh_ops->solicit() is unsleepable. Also, there is no RTNL dependency around atmarpd. Let's use a private mutex and RCU to protect access to atmarpd in to_atmarpd(). Уязвимость функции to_atmarpd() компонента net/atm/clip.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: Fix transport_* TOCTOU Transport assignment may race with module unload. Protect new_transport from becoming a stale pointer. This also takes care of an insecure call in vsock_use_local_transport(); add a lockdep assert. BUG: unable to handle page fault for address: fffffbfff8056000 Oops: Oops: 0000 [#1] SMP KASAN RIP: 0010:vsock_assign_transport+0x366/0x600 Call Trace: vsock_connect+0x59c/0xc40 __sys_connect+0xe8/0x100 __x64_sys_connect+0x6e/0xc0 do_syscall_64+0x92/0x1c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента vsock ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: Fix transport_{g2h,h2g} TOCTOU vsock_find_cid() and vsock_dev_do_ioctl() may race with module unload. transport_{g2h,h2g} may become NULL after the NULL check. Introduce vsock_transport_local_cid() to protect from a potential null-ptr-deref. KASAN: null-ptr-deref in range [0x0000000000000118-0x000000000000011f] RIP: 0010:vsock_find_cid+0x47/0x90 Call Trace: __vsock_bind+0x4b2/0x720 vsock_bind+0x90/0xe0 __sys_bind+0x14d/0x1e0 __x64_sys_bind+0x6e/0xc0 do_syscall_64+0x92/0x1c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 KASAN: null-ptr-deref in range [0x0000000000000118-0x000000000000011f] RIP: 0010:vsock_dev_do_ioctl.isra.0+0x58/0xf0 Call Trace: __x64_sys_ioctl+0x12d/0x190 do_syscall_64+0x92/0x1c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость функции vsock_find_cid() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: Fix use-after-free in tipc_conn_close(). syzbot reported a null-ptr-deref in tipc_conn_close() during netns dismantle. [0] tipc_topsrv_stop() iterates tipc_net(net)->topsrv->conn_idr and calls tipc_conn_close() for each tipc_conn. The problem is that tipc_conn_close() is called after releasing the IDR lock. At the same time, there might be tipc_conn_recv_work() running and it could call tipc_conn_close() for the same tipc_conn and release its last ->kref. Once we release the IDR lock in tipc_topsrv_stop(), there is no guarantee that the tipc_conn is alive. Let's hold the ref before releasing the lock and put the ref after tipc_conn_close() in tipc_topsrv_stop(). [0]: BUG: KASAN: use-after-free in tipc_conn_close+0x122/0x140 net/tipc/topsrv.c:165 Read of size 8 at addr ffff888099305a08 by task kworker/u4:3/435 CPU: 0 PID: 435 Comm: kworker/u4:3 Not tainted 4.19.204-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/01/2011 Workqueue: netns cleanup_net Call Trace: __dump_stack lib/dump_stack.c:77 [inline] dump_stack+0x1fc/0x2ef lib/dump_stack.c:118 print_address_description.cold+0x54/0x219 mm/kasan/report.c:256 kasan_report_error.cold+0x8a/0x1b9 mm/kasan/report.c:354 kasan_report mm/kasan/report.c:412 [inline] __asan_report_load8_noabort+0x88/0x90 mm/kasan/report.c:433 tipc_conn_close+0x122/0x140 net/tipc/topsrv.c:165 tipc_topsrv_stop net/tipc/topsrv.c:701 [inline] tipc_topsrv_exit_net+0x27b/0x5c0 net/tipc/topsrv.c:722 ops_exit_list+0xa5/0x150 net/core/net_namespace.c:153 cleanup_net+0x3b4/0x8b0 net/core/net_namespace.c:553 process_one_work+0x864/0x1570 kernel/workqueue.c:2153 worker_thread+0x64c/0x1130 kernel/workqueue.c:2296 kthread+0x33f/0x460 kernel/kthread.c:259 ret_from_fork+0x24/0x30 arch/x86/entry/entry_64.S:415 Allocated by task 23: kmem_cache_alloc_trace+0x12f/0x380 mm/slab.c:3625 kmalloc include/linux/slab.h:515 [inline] kzalloc include/linux/slab.h:709 [inline] tipc_conn_alloc+0x43/0x4f0 net/tipc/topsrv.c:192 tipc_topsrv_accept+0x1b5/0x280 net/tipc/topsrv.c:470 process_one_work+0x864/0x1570 kernel/workqueue.c:2153 worker_thread+0x64c/0x1130 kernel/workqueue.c:2296 kthread+0x33f/0x460 kernel/kthread.c:259 ret_from_fork+0x24/0x30 arch/x86/entry/entry_64.S:415 Freed by task 23: __cache_free mm/slab.c:3503 [inline] kfree+0xcc/0x210 mm/slab.c:3822 tipc_conn_kref_release net/tipc/topsrv.c:150 [inline] kref_put include/linux/kref.h:70 [inline] conn_put+0x2cd/0x3a0 net/tipc/topsrv.c:155 process_one_work+0x864/0x1570 kernel/workqueue.c:2153 worker_thread+0x64c/0x1130 kernel/workqueue.c:2296 kthread+0x33f/0x460 kernel/kthread.c:259 ret_from_fork+0x24/0x30 arch/x86/entry/entry_64.S:415 The buggy address belongs to the object at ffff888099305a00 which belongs to the cache kmalloc-512 of size 512 The buggy address is located 8 bytes inside of 512-byte region [ffff888099305a00, ffff888099305c00) The buggy address belongs to the page: page:ffffea000264c140 count:1 mapcount:0 mapping:ffff88813bff0940 index:0x0 flags: 0xfff00000000100(slab) raw: 00fff00000000100 ffffea00028b6b88 ffffea0002cd2b08 ffff88813bff0940 raw: 0000000000000000 ffff888099305000 0000000100000006 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888099305900: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff888099305980: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc >ffff888099305a00: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff888099305a80: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff888099305b00: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb Уязвимость функции tipc_conn_close() компонента net/tipc/topsrv.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netlink: Fix wraparounds of sk->sk_rmem_alloc. Netlink has this pattern in some places if (atomic_read(&sk->sk_rmem_alloc) > sk->sk_rcvbuf) atomic_add(skb->truesize, &sk->sk_rmem_alloc); , which has the same problem fixed by commit 5a465a0da13e ("udp: Fix multiple wraparounds of sk->sk_rmem_alloc."). For example, if we set INT_MAX to SO_RCVBUFFORCE, the condition is always false as the two operands are of int. Then, a single socket can eat as many skb as possible until OOM happens, and we can see multiple wraparounds of sk->sk_rmem_alloc. Let's fix it by using atomic_add_return() and comparing the two variables as unsigned int. Before: [root@fedora ~]# ss -f netlink Recv-Q Send-Q Local Address:Port Peer Address:Port -1668710080 0 rtnl:nl_wraparound/293 * After: [root@fedora ~]# ss -f netlink Recv-Q Send-Q Local Address:Port Peer Address:Port 2147483072 0 rtnl:nl_wraparound/290 * ^ `--- INT_MAX - 576 Уязвимость функции atomic_add_return() ядра операционной системы Linux связана с циклическим переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf: Revert to requiring CAP_SYS_ADMIN for uprobes Jann reports that uprobes can be used destructively when used in the middle of an instruction. The kernel only verifies there is a valid instruction at the requested offset, but due to variable instruction length cannot determine if this is an instruction as seen by the intended execution stream. Additionally, Mark Rutland notes that on architectures that mix data in the text segment (like arm64), a similar things can be done if the data word is 'mistaken' for an instruction. As such, require CAP_SYS_ADMIN for uprobes. Уязвимость компонента kernel/events/core.c ядра операционной системы Linux связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/exynos: exynos7_drm_decon: add vblank check in IRQ handling If there's support for another console device (such as a TTY serial), the kernel occasionally panics during boot. The panic message and a relevant snippet of the call stack is as follows: Unable to handle kernel NULL pointer dereference at virtual address 000000000000000 Call trace: drm_crtc_handle_vblank+0x10/0x30 (P) decon_irq_handler+0x88/0xb4 [...] Otherwise, the panics don't happen. This indicates that it's some sort of race condition. Add a check to validate if the drm device can handle vblanks before calling drm_crtc_handle_vblank() to avoid this. Уязвимость функции drm_crtc_handle_vblank() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: Return NULL when htb_lookup_leaf encounters an empty rbtree htb_lookup_leaf has a BUG_ON that can trigger with the following: tc qdisc del dev lo root tc qdisc add dev lo root handle 1: htb default 1 tc class add dev lo parent 1: classid 1:1 htb rate 64bit tc qdisc add dev lo parent 1:1 handle 2: netem tc qdisc add dev lo parent 2:1 handle 3: blackhole ping -I lo -c1 -W0.001 127.0.0.1 The root cause is the following: 1. htb_dequeue calls htb_dequeue_tree which calls the dequeue handler on the selected leaf qdisc 2. netem_dequeue calls enqueue on the child qdisc 3. blackhole_enqueue drops the packet and returns a value that is not just NET_XMIT_SUCCESS 4. Because of this, netem_dequeue calls qdisc_tree_reduce_backlog, and since qlen is now 0, it calls htb_qlen_notify -> htb_deactivate -> htb_deactiviate_prios -> htb_remove_class_from_row -> htb_safe_rb_erase 5. As this is the only class in the selected hprio rbtree, __rb_change_child in __rb_erase_augmented sets the rb_root pointer to NULL 6. Because blackhole_dequeue returns NULL, netem_dequeue returns NULL, which causes htb_dequeue_tree to call htb_lookup_leaf with the same hprio rbtree, and fail the BUG_ON The function graph for this scenario is shown here: 0) | htb_enqueue() { 0) + 13.635 us | netem_enqueue(); 0) 4.719 us | htb_activate_prios(); 0) # 2249.199 us | } 0) | htb_dequeue() { 0) 2.355 us | htb_lookup_leaf(); 0) | netem_dequeue() { 0) + 11.061 us | blackhole_enqueue(); 0) | qdisc_tree_reduce_backlog() { 0) | qdisc_lookup_rcu() { 0) 1.873 us | qdisc_match_from_root(); 0) 6.292 us | } 0) 1.894 us | htb_search(); 0) | htb_qlen_notify() { 0) 2.655 us | htb_deactivate_prios(); 0) 6.933 us | } 0) + 25.227 us | } 0) 1.983 us | blackhole_dequeue(); 0) + 86.553 us | } 0) # 2932.761 us | qdisc_warn_nonwc(); 0) | htb_lookup_leaf() { 0) | BUG_ON(); ------------------------------------------ The full original bug report can be seen here [1]. We can fix this just by returning NULL instead of the BUG_ON, as htb_dequeue_tree returns NULL when htb_lookup_leaf returns NULL. [1] https://lore.kernel.org/netdev/pF5XOOIim0IuEfhI-SOxTgRvNoDwuux7UHKnE_Y5-zVd4wmGvNk2ceHjKb8ORnzw0cGwfmVu42g9dL7XyJLf1NEzaztboTWcm0Ogxuojoeo=@willsroot.io/ Уязвимость функции htb_lookup_leaf() компонента net/sched/sch_htb.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_htb.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_htb в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_htb ``` или ``` kmod list | grep sch_htb ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_htb ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_htb /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: vlan: fix VLAN 0 refcount imbalance of toggling filtering during runtime Assuming the "rx-vlan-filter" feature is enabled on a net device, the 8021q module will automatically add or remove VLAN 0 when the net device is put administratively up or down, respectively. There are a couple of problems with the above scheme. The first problem is a memory leak that can happen if the "rx-vlan-filter" feature is disabled while the device is running: # ip link add bond1 up type bond mode 0 # ethtool -K bond1 rx-vlan-filter off # ip link del dev bond1 When the device is put administratively down the "rx-vlan-filter" feature is disabled, so the 8021q module will not remove VLAN 0 and the memory will be leaked [1]. Another problem that can happen is that the kernel can automatically delete VLAN 0 when the device is put administratively down despite not adding it when the device was put administratively up since during that time the "rx-vlan-filter" feature was disabled. null-ptr-unref or bug_on[2] will be triggered by unregister_vlan_dev() for refcount imbalance if toggling filtering during runtime: $ ip link add bond0 type bond mode 0 $ ip link add link bond0 name vlan0 type vlan id 0 protocol 802.1q $ ethtool -K bond0 rx-vlan-filter off $ ifconfig bond0 up $ ethtool -K bond0 rx-vlan-filter on $ ifconfig bond0 down $ ip link del vlan0 Root cause is as below: step1: add vlan0 for real_dev, such as bond, team. register_vlan_dev vlan_vid_add(real_dev,htons(ETH_P_8021Q),0) //refcnt=1 step2: disable vlan filter feature and enable real_dev step3: change filter from 0 to 1 vlan_device_event vlan_filter_push_vids ndo_vlan_rx_add_vid //No refcnt added to real_dev vlan0 step4: real_dev down vlan_device_event vlan_vid_del(dev, htons(ETH_P_8021Q), 0); //refcnt=0 vlan_info_rcu_free //free vlan0 step5: delete vlan0 unregister_vlan_dev BUG_ON(!vlan_info); //vlan_info is null Fix both problems by noting in the VLAN info whether VLAN 0 was automatically added upon NETDEV_UP and based on that decide whether it should be deleted upon NETDEV_DOWN, regardless of the state of the "rx-vlan-filter" feature. [1] unreferenced object 0xffff8880068e3100 (size 256): comm "ip", pid 384, jiffies 4296130254 hex dump (first 32 bytes): 00 20 30 0d 80 88 ff ff 00 00 00 00 00 00 00 00 . 0............. 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 81ce31fa): __kmalloc_cache_noprof+0x2b5/0x340 vlan_vid_add+0x434/0x940 vlan_device_event.cold+0x75/0xa8 notifier_call_chain+0xca/0x150 __dev_notify_flags+0xe3/0x250 rtnl_configure_link+0x193/0x260 rtnl_newlink_create+0x383/0x8e0 __rtnl_newlink+0x22c/0xa40 rtnl_newlink+0x627/0xb00 rtnetlink_rcv_msg+0x6fb/0xb70 netlink_rcv_skb+0x11f/0x350 netlink_unicast+0x426/0x710 netlink_sendmsg+0x75a/0xc20 __sock_sendmsg+0xc1/0x150 ____sys_sendmsg+0x5aa/0x7b0 ___sys_sendmsg+0xfc/0x180 [2] kernel BUG at net/8021q/vlan.c:99! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 382 Comm: ip Not tainted 6.16.0-rc3 #61 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:unregister_vlan_dev (net/8021q/vlan.c:99 (discriminator 1)) RSP: 0018:ffff88810badf310 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff88810da84000 RCX: ffffffffb47ceb9a RDX: dffffc0000000000 RSI: 0000000000000008 RDI: ffff88810e8b43c8 RBP: 0000000000000000 R08: 0000000000000000 R09: fffffbfff6cefe80 R10: ffffffffb677f407 R11: ffff88810badf3c0 R12: ffff88810e8b4000 R13: 0000000000000000 R14: ffff88810642a5c0 R15: 000000000000017e FS: 00007f1ff68c20c0(0000) GS:ffff888163a24000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f1ff5dad240 CR3: 0000000107e56000 CR4: 00000000000006f0 Call Trace: <TASK ---truncated--- Уязвимость функции unregister_vlan_dev() компонента 8021q Module ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: always refresh the queue when reading sock After recent changes in net-next TCP compacts skbs much more aggressively. This unearthed a bug in TLS where we may try to operate on an old skb when checking if all skbs in the queue have matching decrypt state and geometry. BUG: KASAN: slab-use-after-free in tls_strp_check_rcv+0x898/0x9a0 [tls] (net/tls/tls_strp.c:436 net/tls/tls_strp.c:530 net/tls/tls_strp.c:544) Read of size 4 at addr ffff888013085750 by task tls/13529 CPU: 2 UID: 0 PID: 13529 Comm: tls Not tainted 6.16.0-rc5-virtme Call Trace: kasan_report+0xca/0x100 tls_strp_check_rcv+0x898/0x9a0 [tls] tls_rx_rec_wait+0x2c9/0x8d0 [tls] tls_sw_recvmsg+0x40f/0x1aa0 [tls] inet_recvmsg+0x1c3/0x1f0 Always reload the queue, fast path is to have the record in the queue when we wake, anyway (IOW the path going down "if !strp->stm.full_len"). Уязвимость функции tls_strp_check_rcv() реализации протокола TLS ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conntrack: fix crash due to removal of uninitialised entry A crash in conntrack was reported while trying to unlink the conntrack entry from the hash bucket list: [exception RIP: __nf_ct_delete_from_lists+172] [..] #7 [ff539b5a2b043aa0] nf_ct_delete at ffffffffc124d421 [nf_conntrack] #8 [ff539b5a2b043ad0] nf_ct_gc_expired at ffffffffc124d999 [nf_conntrack] #9 [ff539b5a2b043ae0] __nf_conntrack_find_get at ffffffffc124efbc [nf_conntrack] [..] The nf_conn struct is marked as allocated from slab but appears to be in a partially initialised state: ct hlist pointer is garbage; looks like the ct hash value (hence crash). ct->status is equal to IPS_CONFIRMED|IPS_DYING, which is expected ct->timeout is 30000 (=30s), which is unexpected. Everything else looks like normal udp conntrack entry. If we ignore ct->status and pretend its 0, the entry matches those that are newly allocated but not yet inserted into the hash: - ct hlist pointers are overloaded and store/cache the raw tuple hash - ct->timeout matches the relative time expected for a new udp flow rather than the absolute 'jiffies' value. If it were not for the presence of IPS_CONFIRMED, __nf_conntrack_find_get() would have skipped the entry. Theory is that we did hit following race: cpu x cpu y cpu z found entry E found entry E E is expired <preemption> nf_ct_delete() return E to rcu slab init_conntrack E is re-inited, ct->status set to 0 reply tuplehash hnnode.pprev stores hash value. cpu y found E right before it was deleted on cpu x. E is now re-inited on cpu z. cpu y was preempted before checking for expiry and/or confirm bit. ->refcnt set to 1 E now owned by skb ->timeout set to 30000 If cpu y were to resume now, it would observe E as expired but would skip E due to missing CONFIRMED bit. nf_conntrack_confirm gets called sets: ct->status |= CONFIRMED This is wrong: E is not yet added to hashtable. cpu y resumes, it observes E as expired but CONFIRMED: <resumes> nf_ct_expired() -> yes (ct->timeout is 30s) confirmed bit set. cpu y will try to delete E from the hashtable: nf_ct_delete() -> set DYING bit __nf_ct_delete_from_lists Even this scenario doesn't guarantee a crash: cpu z still holds the table bucket lock(s) so y blocks: wait for spinlock held by z CONFIRMED is set but there is no guarantee ct will be added to hash: "chaintoolong" or "clash resolution" logic both skip the insert step. reply hnnode.pprev still stores the hash value. unlocks spinlock return NF_DROP <unblocks, then crashes on hlist_nulls_del_rcu pprev> In case CPU z does insert the entry into the hashtable, cpu y will unlink E again right away but no crash occurs. Without 'cpu y' race, 'garbage' hlist is of no consequence: ct refcnt remains at 1, eventually skb will be free'd and E gets destroyed via: nf_conntrack_put -> nf_conntrack_destroy -> nf_ct_destroy. To resolve this, move the IPS_CONFIRMED assignment after the table insertion but before the unlock. Pablo points out that the confirm-bit-store could be reordered to happen before hlist add resp. the timeout fixup, so switch to set_bit and before_atomic memory barrier to prevent this. It doesn't matter if other CPUs can observe a newly inserted entry right before the CONFIRMED bit was set: Such event cannot be distinguished from above "E is the old incarnation" case: the entry will be skipped. Also change nf_ct_should_gc() to first check the confirmed bit. The gc sequence is: 1. Check if entry has expired, if not skip to next entry 2. Obtain a reference to the expired entry. 3. Call nf_ct_should_gc() to double-check step 1. nf_ct_should_gc() is thus called only for entries that already failed an expiry check. After this patch, once the confirmed bit check pas ---truncated--- Уязвимость функции __nf_conntrack_find_get() компонента Netfilter ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix null-ptr-deref in l2cap_sock_resume_cb() syzbot reported null-ptr-deref in l2cap_sock_resume_cb(). [0] l2cap_sock_resume_cb() has a similar problem that was fixed by commit 1bff51ea59a9 ("Bluetooth: fix use-after-free error in lock_sock_nested()"). Since both l2cap_sock_kill() and l2cap_sock_resume_cb() are executed under l2cap_sock_resume_cb(), we can avoid the issue simply by checking if chan->data is NULL. Let's not access to the killed socket in l2cap_sock_resume_cb(). [0]: BUG: KASAN: null-ptr-deref in instrument_atomic_write include/linux/instrumented.h:82 [inline] BUG: KASAN: null-ptr-deref in clear_bit include/asm-generic/bitops/instrumented-atomic.h:41 [inline] BUG: KASAN: null-ptr-deref in l2cap_sock_resume_cb+0xb4/0x17c net/bluetooth/l2cap_sock.c:1711 Write of size 8 at addr 0000000000000570 by task kworker/u9:0/52 CPU: 1 UID: 0 PID: 52 Comm: kworker/u9:0 Not tainted 6.16.0-rc4-syzkaller-g7482bb149b9f #0 PREEMPT Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Workqueue: hci0 hci_rx_work Call trace: show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:501 (C) __dump_stack+0x30/0x40 lib/dump_stack.c:94 dump_stack_lvl+0xd8/0x12c lib/dump_stack.c:120 print_report+0x58/0x84 mm/kasan/report.c:524 kasan_report+0xb0/0x110 mm/kasan/report.c:634 check_region_inline mm/kasan/generic.c:-1 [inline] kasan_check_range+0x264/0x2a4 mm/kasan/generic.c:189 __kasan_check_write+0x20/0x30 mm/kasan/shadow.c:37 instrument_atomic_write include/linux/instrumented.h:82 [inline] clear_bit include/asm-generic/bitops/instrumented-atomic.h:41 [inline] l2cap_sock_resume_cb+0xb4/0x17c net/bluetooth/l2cap_sock.c:1711 l2cap_security_cfm+0x524/0xea0 net/bluetooth/l2cap_core.c:7357 hci_auth_cfm include/net/bluetooth/hci_core.h:2092 [inline] hci_auth_complete_evt+0x2e8/0xa4c net/bluetooth/hci_event.c:3514 hci_event_func net/bluetooth/hci_event.c:7511 [inline] hci_event_packet+0x650/0xe9c net/bluetooth/hci_event.c:7565 hci_rx_work+0x320/0xb18 net/bluetooth/hci_core.c:4070 process_one_work+0x7e8/0x155c kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3321 [inline] worker_thread+0x958/0xed8 kernel/workqueue.c:3402 kthread+0x5fc/0x75c kernel/kthread.c:464 ret_from_fork+0x10/0x20 arch/arm64/kernel/entry.S:847 Уязвимость функции l2cap_sock_resume_cb() компонента Bluetooth ядра операционной системы Linux связана с ошибками использования после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: net: sierra: check for no status endpoint The driver checks for having three endpoints and having bulk in and out endpoints, but not that the third endpoint is interrupt input. Rectify the omission. Уязвимость модуля drivers/net/usb/sierra_net.c ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rpl: Fix use-after-free in rpl_do_srh_inline(). Running lwt_dst_cache_ref_loop.sh in selftest with KASAN triggers the splat below [0]. rpl_do_srh_inline() fetches ipv6_hdr(skb) and accesses it after skb_cow_head(), which is illegal as the header could be freed then. Let's fix it by making oldhdr to a local struct instead of a pointer. [0]: [root@fedora net]# ./lwt_dst_cache_ref_loop.sh ... TEST: rpl (input) [ 57.631529] ================================================================== BUG: KASAN: slab-use-after-free in rpl_do_srh_inline.isra.0 (net/ipv6/rpl_iptunnel.c:174) Read of size 40 at addr ffff888122bf96d8 by task ping6/1543 CPU: 50 UID: 0 PID: 1543 Comm: ping6 Not tainted 6.16.0-rc5-01302-gfadd1e6231b1 #23 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:122) print_report (mm/kasan/report.c:409 mm/kasan/report.c:521) kasan_report (mm/kasan/report.c:221 mm/kasan/report.c:636) kasan_check_range (mm/kasan/generic.c:175 (discriminator 1) mm/kasan/generic.c:189 (discriminator 1)) __asan_memmove (mm/kasan/shadow.c:94 (discriminator 2)) rpl_do_srh_inline.isra.0 (net/ipv6/rpl_iptunnel.c:174) rpl_input (net/ipv6/rpl_iptunnel.c:201 net/ipv6/rpl_iptunnel.c:282) lwtunnel_input (net/core/lwtunnel.c:459) ipv6_rcv (./include/net/dst.h:471 (discriminator 1) ./include/net/dst.h:469 (discriminator 1) net/ipv6/ip6_input.c:79 (discriminator 1) ./include/linux/netfilter.h:317 (discriminator 1) ./include/linux/netfilter.h:311 (discriminator 1) net/ipv6/ip6_input.c:311 (discriminator 1)) __netif_receive_skb_one_core (net/core/dev.c:5967) process_backlog (./include/linux/rcupdate.h:869 net/core/dev.c:6440) __napi_poll.constprop.0 (net/core/dev.c:7452) net_rx_action (net/core/dev.c:7518 net/core/dev.c:7643) handle_softirqs (kernel/softirq.c:579) do_softirq (kernel/softirq.c:480 (discriminator 20)) </IRQ> <TASK> __local_bh_enable_ip (kernel/softirq.c:407) __dev_queue_xmit (net/core/dev.c:4740) ip6_finish_output2 (./include/linux/netdevice.h:3358 ./include/net/neighbour.h:526 ./include/net/neighbour.h:540 net/ipv6/ip6_output.c:141) ip6_finish_output (net/ipv6/ip6_output.c:215 net/ipv6/ip6_output.c:226) ip6_output (./include/linux/netfilter.h:306 net/ipv6/ip6_output.c:248) ip6_send_skb (net/ipv6/ip6_output.c:1983) rawv6_sendmsg (net/ipv6/raw.c:588 net/ipv6/raw.c:918) __sys_sendto (net/socket.c:714 (discriminator 1) net/socket.c:729 (discriminator 1) net/socket.c:2228 (discriminator 1)) __x64_sys_sendto (net/socket.c:2231) do_syscall_64 (arch/x86/entry/syscall_64.c:63 (discriminator 1) arch/x86/entry/syscall_64.c:94 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f68cffb2a06 Code: 5d e8 41 8b 93 08 03 00 00 59 5e 48 83 f8 fc 75 19 83 e2 39 83 fa 08 75 11 e8 26 ff ff ff 66 0f 1f 44 00 00 48 8b 45 10 0f 05 <48> 8b 5d f8 c9 c3 0f 1f 40 00 f3 0f 1e fa 55 48 89 e5 48 83 ec 08 RSP: 002b:00007ffefb7c53d0 EFLAGS: 00000202 ORIG_RAX: 000000000000002c RAX: ffffffffffffffda RBX: 0000564cd69f10a0 RCX: 00007f68cffb2a06 RDX: 0000000000000040 RSI: 0000564cd69f10a4 RDI: 0000000000000003 RBP: 00007ffefb7c53f0 R08: 0000564cd6a032ac R09: 000000000000001c R10: 0000000000000000 R11: 0000000000000202 R12: 0000564cd69f10a4 R13: 0000000000000040 R14: 00007ffefb7c66e0 R15: 0000564cd69f10a0 </TASK> Allocated by task 1543: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:60 (discriminator 1) mm/kasan/common.c:69 (discriminator 1)) __kasan_slab_alloc (mm/kasan/common.c:319 mm/kasan/common.c:345) kmem_cache_alloc_node_noprof (./include/linux/kasan.h:250 mm/slub.c:4148 mm/slub.c:4197 mm/slub.c:4249) kmalloc_reserve (net/core/skbuff.c:581 (discriminator 88)) __alloc_skb (net/core/skbuff.c:669) __ip6_append_data (net/ipv6/ip6_output.c:1672 (discriminator 1)) ip6_ ---truncated--- Уязвимость функции rpl_do_srh_inline() компонента rpl ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: Fix race condition on qfq_aggregate A race condition can occur when 'agg' is modified in qfq_change_agg (called during qfq_enqueue) while other threads access it concurrently. For example, qfq_dump_class may trigger a NULL dereference, and qfq_delete_class may cause a use-after-free. This patch addresses the issue by: 1. Moved qfq_destroy_class into the critical section. 2. Added sch_tree_lock protection to qfq_dump_class and qfq_dump_class_stats. Уязвимость компонента net/sched/sch_qfq.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_qfq.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_qfq в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_qfq ``` или ``` kmod list | grep sch_qfq ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_qfq ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_qfq /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: Fix initialization of data for instructions that write to subdevice Some Comedi subdevice instruction handlers are known to access instruction data elements beyond the first `insn->n` elements in some cases. The `do_insn_ioctl()` and `do_insnlist_ioctl()` functions allocate at least `MIN_SAMPLES` (16) data elements to deal with this, but they do not initialize all of that. For Comedi instruction codes that write to the subdevice, the first `insn->n` data elements are copied from user-space, but the remaining elements are left uninitialized. That could be a problem if the subdevice instruction handler reads the uninitialized data. Ensure that the first `MIN_SAMPLES` elements are initialized before calling these instruction handlers, filling the uncopied elements with 0. For `do_insnlist_ioctl()`, the same data buffer elements are used for handling a list of instructions, so ensure the first `MIN_SAMPLES` elements are initialized for each instruction that writes to the subdevice. Уязвимость функции do_insn_ioctl() компонента comedi ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: Fix use of uninitialized data in insn_rw_emulate_bits() For Comedi `INSN_READ` and `INSN_WRITE` instructions on "digital" subdevices (subdevice types `COMEDI_SUBD_DI`, `COMEDI_SUBD_DO`, and `COMEDI_SUBD_DIO`), it is common for the subdevice driver not to have `insn_read` and `insn_write` handler functions, but to have an `insn_bits` handler function for handling Comedi `INSN_BITS` instructions. In that case, the subdevice's `insn_read` and/or `insn_write` function handler pointers are set to point to the `insn_rw_emulate_bits()` function by `__comedi_device_postconfig()`. For `INSN_WRITE`, `insn_rw_emulate_bits()` currently assumes that the supplied `data[0]` value is a valid copy from user memory. It will at least exist because `do_insnlist_ioctl()` and `do_insn_ioctl()` in "comedi_fops.c" ensure at lease `MIN_SAMPLES` (16) elements are allocated. However, if `insn->n` is 0 (which is allowable for `INSN_READ` and `INSN_WRITE` instructions, then `data[0]` may contain uninitialized data, and certainly contains invalid data, possibly from a different instruction in the array of instructions handled by `do_insnlist_ioctl()`. This will result in an incorrect value being written to the digital output channel (or to the digital input/output channel if configured as an output), and may be reflected in the internal saved state of the channel. Fix it by returning 0 early if `insn->n` is 0, before reaching the code that accesses `data[0]`. Previously, the function always returned 1 on success, but it is supposed to be the number of data samples actually read or written up to `insn->n`, which is 0 in this case. Уязвимость функции insn_rw_emulate_bits() компонента drivers/comedi/drivers.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: Fail COMEDI_INSNLIST ioctl if n_insns is too large The handling of the `COMEDI_INSNLIST` ioctl allocates a kernel buffer to hold the array of `struct comedi_insn`, getting the length from the `n_insns` member of the `struct comedi_insnlist` supplied by the user. The allocation will fail with a WARNING and a stack dump if it is too large. Avoid that by failing with an `-EINVAL` error if the supplied `n_insns` value is unreasonable. Define the limit on the `n_insns` value in the `MAX_INSNS` macro. Set this to the same value as `MAX_SAMPLES` (65536), which is the maximum allowed sum of the values of the member `n` in the array of `struct comedi_insn`, and sensible comedi instructions will have an `n` of at least 1. Уязвимость компонента drivers/comedi/comedi_fops.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: das6402: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: /* IRQs 2,3,5,6,7, 10,11,15 are valid for "enhanced" mode */ if ((1 << it->options[1]) & 0x8cec) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Valid `it->options[1]` values that select the IRQ will be in the range [1,15]. The value 0 explicitly disables the use of interrupts. Уязвимость модуля drivers/comedi/drivers/das6402.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: das16m1: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: /* only irqs 2, 3, 4, 5, 6, 7, 10, 11, 12, 14, and 15 are valid */ if ((1 << it->options[1]) & 0xdcfc) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Уязвимость модуля drivers/comedi/drivers/das16m1.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: accel: fxls8962af: Fix use after free in fxls8962af_fifo_flush fxls8962af_fifo_flush() uses indio_dev->active_scan_mask (with iio_for_each_active_channel()) without making sure the indio_dev stays in buffer mode. There is a race if indio_dev exits buffer mode in the middle of the interrupt that flushes the fifo. Fix this by calling synchronize_irq() to ensure that no interrupt is currently running when disabling buffer mode. Unable to handle kernel NULL pointer dereference at virtual address 00000000 when read [...] _find_first_bit_le from fxls8962af_fifo_flush+0x17c/0x290 fxls8962af_fifo_flush from fxls8962af_interrupt+0x80/0x178 fxls8962af_interrupt from irq_thread_fn+0x1c/0x7c irq_thread_fn from irq_thread+0x110/0x1f4 irq_thread from kthread+0xe0/0xfc kthread from ret_from_fork+0x14/0x2c Уязвимость функции fxls8962af_fifo_flush() компонента iio ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: aspeed: lpc-snoop: Don't disable channels that aren't enabled Mitigate e.g. the following: # echo 1e789080.lpc-snoop > /sys/bus/platform/drivers/aspeed-lpc-snoop/unbind ... [ 120.363594] Unable to handle kernel NULL pointer dereference at virtual address 00000004 when write [ 120.373866] [00000004] *pgd=00000000 [ 120.377910] Internal error: Oops: 805 [#1] SMP ARM [ 120.383306] CPU: 1 UID: 0 PID: 315 Comm: sh Not tainted 6.15.0-rc1-00009-g926217bc7d7d-dirty #20 NONE ... [ 120.679543] Call trace: [ 120.679559] misc_deregister from aspeed_lpc_snoop_remove+0x84/0xac [ 120.692462] aspeed_lpc_snoop_remove from platform_remove+0x28/0x38 [ 120.700996] platform_remove from device_release_driver_internal+0x188/0x200 ... Уязвимость функции misc_deregister() компонента soc ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix use-after-free in crypt_message when using async crypto The CVE-2024-50047 fix removed asynchronous crypto handling from crypt_message(), assuming all crypto operations are synchronous. However, when hardware crypto accelerators are used, this can cause use-after-free crashes: crypt_message() // Allocate the creq buffer containing the req creq = smb2_get_aead_req(..., &req); // Async encryption returns -EINPROGRESS immediately rc = enc ? crypto_aead_encrypt(req) : crypto_aead_decrypt(req); // Free creq while async operation is still in progress kvfree_sensitive(creq, ...); Hardware crypto modules often implement async AEAD operations for performance. When crypto_aead_encrypt/decrypt() returns -EINPROGRESS, the operation completes asynchronously. Without crypto_wait_req(), the function immediately frees the request buffer, leading to crashes when the driver later accesses the freed memory. This results in a use-after-free condition when the hardware crypto driver later accesses the freed request structure, leading to kernel crashes with NULL pointer dereferences. The issue occurs because crypto_alloc_aead() with mask=0 doesn't guarantee synchronous operation. Even without CRYPTO_ALG_ASYNC in the mask, async implementations can be selected. Fix by restoring the async crypto handling: - DECLARE_CRYPTO_WAIT(wait) for completion tracking - aead_request_set_callback() for async completion notification - crypto_wait_req() to wait for operation completion This ensures the request buffer isn't freed until the crypto operation completes, whether synchronous or asynchronous, while preserving the CVE-2024-50047 fix. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: make fallback action and fallback decision atomic Syzkaller reported the following splat: WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 __mptcp_do_fallback net/mptcp/protocol.h:1223 [inline] WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 mptcp_do_fallback net/mptcp/protocol.h:1244 [inline] WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 check_fully_established net/mptcp/options.c:982 [inline] WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 mptcp_incoming_options+0x21a8/0x2510 net/mptcp/options.c:1153 Modules linked in: CPU: 1 UID: 0 PID: 7704 Comm: syz.3.1419 Not tainted 6.16.0-rc3-gbd5ce2324dba #20 PREEMPT(voluntary) Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:__mptcp_do_fallback net/mptcp/protocol.h:1223 [inline] RIP: 0010:mptcp_do_fallback net/mptcp/protocol.h:1244 [inline] RIP: 0010:check_fully_established net/mptcp/options.c:982 [inline] RIP: 0010:mptcp_incoming_options+0x21a8/0x2510 net/mptcp/options.c:1153 Code: 24 18 e8 bb 2a 00 fd e9 1b df ff ff e8 b1 21 0f 00 e8 ec 5f c4 fc 44 0f b7 ac 24 b0 00 00 00 e9 54 f1 ff ff e8 d9 5f c4 fc 90 <0f> 0b 90 e9 b8 f4 ff ff e8 8b 2a 00 fd e9 8d e6 ff ff e8 81 2a 00 RSP: 0018:ffff8880a3f08448 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff8880180a8000 RCX: ffffffff84afcf45 RDX: ffff888090223700 RSI: ffffffff84afdaa7 RDI: 0000000000000001 RBP: ffff888017955780 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 0000000000000000 R13: ffff8880180a8910 R14: ffff8880a3e9d058 R15: 0000000000000000 FS: 00005555791b8500(0000) GS:ffff88811c495000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000110c2800b7 CR3: 0000000058e44000 CR4: 0000000000350ef0 Call Trace: <IRQ> tcp_reset+0x26f/0x2b0 net/ipv4/tcp_input.c:4432 tcp_validate_incoming+0x1057/0x1b60 net/ipv4/tcp_input.c:5975 tcp_rcv_established+0x5b5/0x21f0 net/ipv4/tcp_input.c:6166 tcp_v4_do_rcv+0x5dc/0xa70 net/ipv4/tcp_ipv4.c:1925 tcp_v4_rcv+0x3473/0x44a0 net/ipv4/tcp_ipv4.c:2363 ip_protocol_deliver_rcu+0xba/0x480 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x2f1/0x500 net/ipv4/ip_input.c:233 NF_HOOK include/linux/netfilter.h:317 [inline] NF_HOOK include/linux/netfilter.h:311 [inline] ip_local_deliver+0x1be/0x560 net/ipv4/ip_input.c:254 dst_input include/net/dst.h:469 [inline] ip_rcv_finish net/ipv4/ip_input.c:447 [inline] NF_HOOK include/linux/netfilter.h:317 [inline] NF_HOOK include/linux/netfilter.h:311 [inline] ip_rcv+0x514/0x810 net/ipv4/ip_input.c:567 __netif_receive_skb_one_core+0x197/0x1e0 net/core/dev.c:5975 __netif_receive_skb+0x1f/0x120 net/core/dev.c:6088 process_backlog+0x301/0x1360 net/core/dev.c:6440 __napi_poll.constprop.0+0xba/0x550 net/core/dev.c:7453 napi_poll net/core/dev.c:7517 [inline] net_rx_action+0xb44/0x1010 net/core/dev.c:7644 handle_softirqs+0x1d0/0x770 kernel/softirq.c:579 do_softirq+0x3f/0x90 kernel/softirq.c:480 </IRQ> <TASK> __local_bh_enable_ip+0xed/0x110 kernel/softirq.c:407 local_bh_enable include/linux/bottom_half.h:33 [inline] inet_csk_listen_stop+0x2c5/0x1070 net/ipv4/inet_connection_sock.c:1524 mptcp_check_listen_stop.part.0+0x1cc/0x220 net/mptcp/protocol.c:2985 mptcp_check_listen_stop net/mptcp/mib.h:118 [inline] __mptcp_close+0x9b9/0xbd0 net/mptcp/protocol.c:3000 mptcp_close+0x2f/0x140 net/mptcp/protocol.c:3066 inet_release+0xed/0x200 net/ipv4/af_inet.c:435 inet6_release+0x4f/0x70 net/ipv6/af_inet6.c:487 __sock_release+0xb3/0x270 net/socket.c:649 sock_close+0x1c/0x30 net/socket.c:1439 __fput+0x402/0xb70 fs/file_table.c:465 task_work_run+0x150/0x240 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xd4 ---truncated--- Уязвимость функции __mptcp_do_fallback() компонента mptcp ядра операционной системы Linux связана с бесконечным циклом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: do not bypass hid_hw_raw_request hid_hw_raw_request() is actually useful to ensure the provided buffer and length are valid. Directly calling in the low level transport driver function bypassed those checks and allowed invalid paramto be used. Уязвимость функции hid_hw_raw_request() драйвера Low Level Transport ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: ensure the allocated report buffer can contain the reserved report ID When the report ID is not used, the low level transport drivers expect the first byte to be 0. However, currently the allocated buffer not account for that extra byte, meaning that instead of having 8 guaranteed bytes for implement to be working, we only have 7. Уязвимость драйвера Low Level Transport ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: configfs: Fix OOB read on empty string write When writing an empty string to either 'qw_sign' or 'landingPage' sysfs attributes, the store functions attempt to access page[l - 1] before validating that the length 'l' is greater than zero. This patch fixes the vulnerability by adding a check at the beginning of os_desc_qw_sign_store() and webusb_landingPage_store() to handle the zero-length input case gracefully by returning immediately. Уязвимость модуля drivers/usb/gadget/configfs.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: do_change_type(): refuse to operate on unmounted/not ours mounts Ensure that propagation settings can only be changed for mounts located in the caller's mount namespace. This change aligns permission checking with the rest of mount(2). Уязвимость функции do_change_type() компонента fs/namespace.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clone_private_mnt(): make sure that caller has CAP_SYS_ADMIN in the right userns What we want is to verify there is that clone won't expose something hidden by a mount we wouldn't be able to undo. "Wouldn't be able to undo" may be a result of MNT_LOCKED on a child, but it may also come from lacking admin rights in the userns of the namespace mount belongs to. clone_private_mnt() checks the former, but not the latter. There's a number of rather confusing CAP_SYS_ADMIN checks in various userns during the mount, especially with the new mount API; they serve different purposes and in case of clone_private_mnt() they usually, but not always end up covering the missing check mentioned above. Уязвимость функции clone_private_mnt() ядра операционной системы Linux связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищамой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm: interface: fix use-after-free after changing collect_md xfrm interface collect_md property on xfrm interfaces can only be set on device creation, thus xfrmi_changelink() should fail when called on such interfaces. The check to enforce this was done only in the case where the xi was returned from xfrmi_locate() which doesn't look for the collect_md interface, and thus the validation was never reached. Calling changelink would thus errornously place the special interface xi in the xfrmi_net->xfrmi hash, but since it also exists in the xfrmi_net->collect_md_xfrmi pointer it would lead to a double free when the net namespace was taken down [1]. Change the check to use the xi from netdev_priv which is available earlier in the function to prevent changes in xfrm collect_md interfaces. [1] resulting oops: [ 8.516540] kernel BUG at net/core/dev.c:12029! [ 8.516552] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 8.516559] CPU: 0 UID: 0 PID: 12 Comm: kworker/u80:0 Not tainted 6.15.0-virtme #5 PREEMPT(voluntary) [ 8.516565] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 8.516569] Workqueue: netns cleanup_net [ 8.516579] RIP: 0010:unregister_netdevice_many_notify+0x101/0xab0 [ 8.516590] Code: 90 0f 0b 90 48 8b b0 78 01 00 00 48 8b 90 80 01 00 00 48 89 56 08 48 89 32 4c 89 80 78 01 00 00 48 89 b8 80 01 00 00 eb ac 90 <0f> 0b 48 8b 45 00 4c 8d a0 88 fe ff ff 48 39 c5 74 5c 41 80 bc 24 [ 8.516593] RSP: 0018:ffffa93b8006bd30 EFLAGS: 00010206 [ 8.516598] RAX: ffff98fe4226e000 RBX: ffffa93b8006bd58 RCX: ffffa93b8006bc60 [ 8.516601] RDX: 0000000000000004 RSI: 0000000000000000 RDI: dead000000000122 [ 8.516603] RBP: ffffa93b8006bdd8 R08: dead000000000100 R09: ffff98fe4133c100 [ 8.516605] R10: 0000000000000000 R11: 00000000000003d2 R12: ffffa93b8006be00 [ 8.516608] R13: ffffffff96c1a510 R14: ffffffff96c1a510 R15: ffffa93b8006be00 [ 8.516615] FS: 0000000000000000(0000) GS:ffff98fee73b7000(0000) knlGS:0000000000000000 [ 8.516619] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 8.516622] CR2: 00007fcd2abd0700 CR3: 000000003aa40000 CR4: 0000000000752ef0 [ 8.516625] PKRU: 55555554 [ 8.516627] Call Trace: [ 8.516632] <TASK> [ 8.516635] ? rtnl_is_locked+0x15/0x20 [ 8.516641] ? unregister_netdevice_queue+0x29/0xf0 [ 8.516650] ops_undo_list+0x1f2/0x220 [ 8.516659] cleanup_net+0x1ad/0x2e0 [ 8.516664] process_one_work+0x160/0x380 [ 8.516673] worker_thread+0x2aa/0x3c0 [ 8.516679] ? __pfx_worker_thread+0x10/0x10 [ 8.516686] kthread+0xfb/0x200 [ 8.516690] ? __pfx_kthread+0x10/0x10 [ 8.516693] ? __pfx_kthread+0x10/0x10 [ 8.516697] ret_from_fork+0x82/0xf0 [ 8.516705] ? __pfx_kthread+0x10/0x10 [ 8.516709] ret_from_fork_asm+0x1a/0x30 [ 8.516718] </TASK> Уязвимость компонента net/xfrm ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xfrm_interface.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xfrm_interface в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xfrm_interface ``` или ``` kmod list | grep xfrm_interface ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xfrm_interface ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xfrm_interface /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: limit repeated connections from clients with the same IP Repeated connections from clients with the same IP address may exhaust the max connections and prevent other normal client connections. This patch limit repeated connections from clients with the same IP. Уязвимость компонента ksmbd ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничить количество одновременных соединений с одного IP-адреса на порт SMB (обычно 445/tcp) до разумного значения. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix oob access in cgroup local storage Lonial reported that an out-of-bounds access in cgroup local storage can be crafted via tail calls. Given two programs each utilizing a cgroup local storage with a different value size, and one program doing a tail call into the other. The verifier will validate each of the indivial programs just fine. However, in the runtime context the bpf_cg_run_ctx holds an bpf_prog_array_item which contains the BPF program as well as any cgroup local storage flavor the program uses. Helpers such as bpf_get_local_storage() pick this up from the runtime context: ctx = container_of(current->bpf_ctx, struct bpf_cg_run_ctx, run_ctx); storage = ctx->prog_item->cgroup_storage[stype]; if (stype == BPF_CGROUP_STORAGE_SHARED) ptr = &READ_ONCE(storage->buf)->data[0]; else ptr = this_cpu_ptr(storage->percpu_buf); For the second program which was called from the originally attached one, this means bpf_get_local_storage() will pick up the former program's map, not its own. With mismatching sizes, this can result in an unintended out-of-bounds access. To fix this issue, we need to extend bpf_map_owner with an array of storage_cookie[] to match on i) the exact maps from the original program if the second program was using bpf_get_local_storage(), or ii) allow the tail call combination if the second program was not using any of the cgroup local storage maps. Уязвимость механизма cgroup подсистемы BPF ядра операционных систем Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости CVE-2025-38502 настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix assertion when building free space tree When building the free space tree with the block group tree feature enabled, we can hit an assertion failure like this: BTRFS info (device loop0 state M): rebuilding free space tree assertion failed: ret == 0, in fs/btrfs/free-space-tree.c:1102 ------------[ cut here ]------------ kernel BUG at fs/btrfs/free-space-tree.c:1102! Internal error: Oops - BUG: 00000000f2000800 [#1] SMP Modules linked in: CPU: 1 UID: 0 PID: 6592 Comm: syz-executor322 Not tainted 6.15.0-rc7-syzkaller-gd7fa1af5b33e #0 PREEMPT Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : populate_free_space_tree+0x514/0x518 fs/btrfs/free-space-tree.c:1102 lr : populate_free_space_tree+0x514/0x518 fs/btrfs/free-space-tree.c:1102 sp : ffff8000a4ce7600 x29: ffff8000a4ce76e0 x28: ffff0000c9bc6000 x27: ffff0000ddfff3d8 x26: ffff0000ddfff378 x25: dfff800000000000 x24: 0000000000000001 x23: ffff8000a4ce7660 x22: ffff70001499cecc x21: ffff0000e1d8c160 x20: ffff0000e1cb7800 x19: ffff0000e1d8c0b0 x18: 00000000ffffffff x17: ffff800092f39000 x16: ffff80008ad27e48 x15: ffff700011e740c0 x14: 1ffff00011e740c0 x13: 0000000000000004 x12: ffffffffffffffff x11: ffff700011e740c0 x10: 0000000000ff0100 x9 : 94ef24f55d2dbc00 x8 : 94ef24f55d2dbc00 x7 : 0000000000000001 x6 : 0000000000000001 x5 : ffff8000a4ce6f98 x4 : ffff80008f415ba0 x3 : ffff800080548ef0 x2 : 0000000000000000 x1 : 0000000100000000 x0 : 000000000000003e Call trace: populate_free_space_tree+0x514/0x518 fs/btrfs/free-space-tree.c:1102 (P) btrfs_rebuild_free_space_tree+0x14c/0x54c fs/btrfs/free-space-tree.c:1337 btrfs_start_pre_rw_mount+0xa78/0xe10 fs/btrfs/disk-io.c:3074 btrfs_remount_rw fs/btrfs/super.c:1319 [inline] btrfs_reconfigure+0x828/0x2418 fs/btrfs/super.c:1543 reconfigure_super+0x1d4/0x6f0 fs/super.c:1083 do_remount fs/namespace.c:3365 [inline] path_mount+0xb34/0xde0 fs/namespace.c:4200 do_mount fs/namespace.c:4221 [inline] __do_sys_mount fs/namespace.c:4432 [inline] __se_sys_mount fs/namespace.c:4409 [inline] __arm64_sys_mount+0x3e8/0x468 fs/namespace.c:4409 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x58/0x17c arch/arm64/kernel/entry-common.c:767 el0t_64_sync_handler+0x78/0x108 arch/arm64/kernel/entry-common.c:786 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Code: f0047182 91178042 528089c3 9771d47b (d4210000) ---[ end trace 0000000000000000 ]--- This happens because we are processing an empty block group, which has no extents allocated from it, there are no items for this block group, including the block group item since block group items are stored in a dedicated tree when using the block group tree feature. It also means this is the block group with the highest start offset, so there are no higher keys in the extent root, hence btrfs_search_slot_for_read() returns 1 (no higher key found). Fix this by asserting 'ret' is 0 only if the block group tree feature is not enabled, in which case we should find a block group item for the block group since it's stored in the extent root and block group item keys are greater than extent item keys (the value for BTRFS_BLOCK_GROUP_ITEM_KEY is 192 and for BTRFS_EXTENT_ITEM_KEY and BTRFS_METADATA_ITEM_KEY the values are 168 and 169 respectively). In case 'ret' is 1, we just need to add a record to the free space tree which spans the whole block group, and we can achieve this by making 'ret == 0' as the while loop's condition. Уязвимость функции populate_free_space_tree() в модуле fs/btrfs/free-space-tree.c файловой системы btrfs ядра операционной системы Linux связана с достижимым утверждением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kasan: remove kasan_find_vm_area() to prevent possible deadlock find_vm_area() couldn't be called in atomic_context. If find_vm_area() is called to reports vm area information, kasan can trigger deadlock like: CPU0 CPU1 vmalloc(); alloc_vmap_area(); spin_lock(&vn->busy.lock) spin_lock_bh(&some_lock); <interrupt occurs> <in softirq> spin_lock(&some_lock); <access invalid address> kasan_report(); print_report(); print_address_description(); kasan_find_vm_area(); find_vm_area(); spin_lock(&vn->busy.lock) // deadlock! To prevent possible deadlock while kasan reports, remove kasan_find_vm_area(). Уязвимость функции kasan_find_vm_area() (mm/kasan/report.c) компонента kasan ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: prevent A-MSDU attacks in mesh networks This patch is a mitigation to prevent the A-MSDU spoofing vulnerability for mesh networks. The initial update to the IEEE 802.11 standard, in response to the FragAttacks, missed this case (CVE-2025-27558). It can be considered a variant of CVE-2020-24588 but for mesh networks. This patch tries to detect if a standard MSDU was turned into an A-MSDU by an adversary. This is done by parsing a received A-MSDU as a standard MSDU, calculating the length of the Mesh Control header, and seeing if the 6 bytes after this header equal the start of an rfc1042 header. If equal, this is a strong indication of an ongoing attack attempt. This defense was tested with mac80211_hwsim against a mesh network that uses an empty Mesh Address Extension field, i.e., when four addresses are used, and when using a 12-byte Mesh Address Extension field, i.e., when six addresses are used. Functionality of normal MSDUs and A-MSDUs was also tested, and confirmed working, when using both an empty and 12-byte Mesh Address Extension field. It was also tested with mac80211_hwsim that A-MSDU attacks in non-mesh networks keep being detected and prevented. Note that the vulnerability being patched, and the defense being implemented, was also discussed in the following paper and in the following IEEE 802.11 presentation: https://papers.mathyvanhoef.com/wisec2025.pdf https://mentor.ieee.org/802.11/dcn/25/11-25-0949-00-000m-a-msdu-mesh-spoof-protection.docx Уязвимость функций ieee80211_is_valid_amsdu() и ieee80211_amsdu_to_8023s() (net/wireless/util.c.) ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: zd1211rw: Fix potential NULL pointer dereference in zd_mac_tx_to_dev() There is a potential NULL pointer dereference in zd_mac_tx_to_dev(). For example, the following is possible: T0 T1 zd_mac_tx_to_dev() /* len == skb_queue_len(q) */ while (len > ZD_MAC_MAX_ACK_WAITERS) { filter_ack() spin_lock_irqsave(&q->lock, flags); /* position == skb_queue_len(q) */ for (i=1; i<position; i++) skb = __skb_dequeue(q) if (mac->type == NL80211_IFTYPE_AP) skb = __skb_dequeue(q); spin_unlock_irqrestore(&q->lock, flags); skb_dequeue() -> NULL Since there is a small gap between checking skb queue length and skb being unconditionally dequeued in zd_mac_tx_to_dev(), skb_dequeue() can return NULL. Then the pointer is passed to zd_mac_tx_status() where it is dereferenced. In order to avoid potential NULL pointer dereference due to situations like above, check if skb is not NULL before passing it to zd_mac_tx_status(). Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции zd_mac_tx_to_dev() (drivers/net/wireless/zydas/zd1211rw/zd_mac.c) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix oops due to non-existence of prealloc backlog struct If an AF_RXRPC service socket is opened and bound, but calls are preallocated, then rxrpc_alloc_incoming_call() will oops because the rxrpc_backlog struct doesn't get allocated until the first preallocation is made. Fix this by returning NULL from rxrpc_alloc_incoming_call() if there is no backlog struct. This will cause the incoming call to be aborted. Уязвимость ядра операционной системы Linux связана с неправильной проверкой возвращаемого значения функции. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sched: Increment job count before swapping tail spsc queue A small race exists between spsc_queue_push and the run-job worker, in which spsc_queue_push may return not-first while the run-job worker has already idled due to the job count being zero. If this race occurs, job scheduling stops, leading to hangs while waiting on the job’s DMA fences. Seal this race by incrementing the job count before appending to the SPSC queue. This race was observed on a drm-tip 6.16-rc1 build with the Xe driver in an SVM test case. Уязвимость компонента drm/sched ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: qcom: msm: mark certain pins as invalid for interrupts On some platforms, the UFS-reset pin has no interrupt logic in TLMM but is nevertheless registered as a GPIO in the kernel. This enables the user-space to trigger a BUG() in the pinctrl-msm driver by running, for example: `gpiomon -c 0 113` on RB2. The exact culprit is requesting pins whose intr_detection_width setting is not 1 or 2 for interrupts. This hits a BUG() in msm_gpio_irq_set_type(). Potentially crashing the kernel due to an invalid request from user-space is not optimal, so let's go through the pins and mark those that would fail the check as invalid for the irq chip as we should not even register them as available irqs. This function can be extended if we determine that there are more corner-cases like this. Уязвимость компонента pinctrl-msm ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Don't call mmput from MMU notifier callback If the process is exiting, the mmput inside mmu notifier callback from compactd or fork or numa balancing could release the last reference of mm struct to call exit_mmap and free_pgtable, this triggers deadlock with below backtrace. The deadlock will leak kfd process as mmu notifier release is not called and cause VRAM leaking. The fix is to take mm reference mmget_non_zero when adding prange to the deferred list to pair with mmput in deferred list work. If prange split and add into pchild list, the pchild work_item.mm is not used, so remove the mm parameter from svm_range_unmap_split and svm_range_add_child. The backtrace of hung task: INFO: task python:348105 blocked for more than 64512 seconds. Call Trace: __schedule+0x1c3/0x550 schedule+0x46/0xb0 rwsem_down_write_slowpath+0x24b/0x4c0 unlink_anon_vmas+0xb1/0x1c0 free_pgtables+0xa9/0x130 exit_mmap+0xbc/0x1a0 mmput+0x5a/0x140 svm_range_cpu_invalidate_pagetables+0x2b/0x40 [amdgpu] mn_itree_invalidate+0x72/0xc0 __mmu_notifier_invalidate_range_start+0x48/0x60 try_to_unmap_one+0x10fa/0x1400 rmap_walk_anon+0x196/0x460 try_to_unmap+0xbb/0x210 migrate_page_unmap+0x54d/0x7e0 migrate_pages_batch+0x1c3/0xae0 migrate_pages_sync+0x98/0x240 migrate_pages+0x25c/0x520 compact_zone+0x29d/0x590 compact_zone_order+0xb6/0xf0 try_to_compact_pages+0xbe/0x220 __alloc_pages_direct_compact+0x96/0x1a0 __alloc_pages_slowpath+0x410/0x930 __alloc_pages_nodemask+0x3a9/0x3e0 do_huge_pmd_anonymous_page+0xd7/0x3e0 __handle_mm_fault+0x5e3/0x5f0 handle_mm_fault+0xf7/0x2e0 hmm_vma_fault.isra.0+0x4d/0xa0 walk_pmd_range.isra.0+0xa8/0x310 walk_pud_range+0x167/0x240 walk_pgd_range+0x55/0x100 __walk_page_range+0x87/0x90 walk_page_range+0xf6/0x160 hmm_range_fault+0x4f/0x90 amdgpu_hmm_range_get_pages+0x123/0x230 [amdgpu] amdgpu_ttm_tt_get_user_pages+0xb1/0x150 [amdgpu] init_user_pages+0xb1/0x2a0 [amdgpu] amdgpu_amdkfd_gpuvm_alloc_memory_of_gpu+0x543/0x7d0 [amdgpu] kfd_ioctl_alloc_memory_of_gpu+0x24c/0x4e0 [amdgpu] kfd_ioctl+0x29d/0x500 [amdgpu] (cherry picked from commit a29e067bd38946f752b0ef855f3dfff87e77bec7) Уязвимость компонента drm/amdkfd ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix use-after-free in cifs_oplock_break A race condition can occur in cifs_oplock_break() leading to a use-after-free of the cinode structure when unmounting: cifs_oplock_break() _cifsFileInfo_put(cfile) cifsFileInfo_put_final() cifs_sb_deactive() [last ref, start releasing sb] kill_sb() kill_anon_super() generic_shutdown_super() evict_inodes() dispose_list() evict() destroy_inode() call_rcu(&inode->i_rcu, i_callback) spin_lock(&cinode->open_file_lock) <- OK [later] i_callback() cifs_free_inode() kmem_cache_free(cinode) spin_unlock(&cinode->open_file_lock) <- UAF cifs_done_oplock_break(cinode) <- UAF The issue occurs when umount has already released its reference to the superblock. When _cifsFileInfo_put() calls cifs_sb_deactive(), this releases the last reference, triggering the immediate cleanup of all inodes under RCU. However, cifs_oplock_break() continues to access the cinode after this point, resulting in use-after-free. Fix this by holding an extra reference to the superblock during the entire oplock break operation. This ensures that the superblock and its inodes remain valid until the oplock break completes. Уязвимость компонента smb ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Reject %p% format string in bprintf-like helpers static const char fmt[] = "%p%"; bpf_trace_printk(fmt, sizeof(fmt)); The above BPF program isn't rejected and causes a kernel warning at runtime: Please remove unsupported %\x00 in format string WARNING: CPU: 1 PID: 7244 at lib/vsprintf.c:2680 format_decode+0x49c/0x5d0 This happens because bpf_bprintf_prepare skips over the second %, detected as punctuation, while processing %p. This patch fixes it by not skipping over punctuation. %\x00 is then processed in the next iteration and rejected. Уязвимость ядра операционной системы Linux связана с недостаточной обработкой форматной строки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: aio_iiro_16: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: if ((1 << it->options[1]) & 0xdcfc) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Valid `it->options[1]` values that select the IRQ will be in the range [1,15]. The value 0 explicitly disables the use of interrupts. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: pcl812: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: if ((1 << it->options[1]) & board->irq_bits) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Valid `it->options[1]` values that select the IRQ will be in the range [1,15]. The value 0 explicitly disables the use of interrupts. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phy: tegra: xusb: Fix unbalanced regulator disable in UTMI PHY mode When transitioning from USB_ROLE_DEVICE to USB_ROLE_NONE, the code assumed that the regulator should be disabled. However, if the regulator is marked as always-on, regulator_is_enabled() continues to return true, leading to an incorrect attempt to disable a regulator which is not enabled. This can result in warnings such as: [ 250.155624] WARNING: CPU: 1 PID: 7326 at drivers/regulator/core.c:3004 _regulator_disable+0xe4/0x1a0 [ 250.155652] unbalanced disables for VIN_SYS_5V0 To fix this, we move the regulator control logic into tegra186_xusb_padctl_id_override() function since it's directly related to the ID override state. The regulator is now only disabled when the role transitions from USB_ROLE_HOST to USB_ROLE_NONE, by checking the VBUS_ID register. This ensures that regulator enable/disable operations are properly balanced and only occur when actually transitioning to/from host mode. Уязвимость компонента xusb ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: nbpfaxi: Fix memory corruption in probe() The nbpf->chan[] array is allocated earlier in the nbpf_probe() function and it has "num_channels" elements. These three loops iterate one element farther than they should and corrupt memory. The changes to the second loop are more involved. In this case, we're copying data from the irqbuf[] array into the nbpf->chan[] array. If the data in irqbuf[i] is the error IRQ then we skip it, so the iterators are not in sync. I added a check to ensure that we don't go beyond the end of the irqbuf[] array. I'm pretty sure this can't happen, but it seemed harmless to add a check. On the other hand, after the loop has ended there is a check to ensure that the "chan" iterator is where we expect it to be. In the original code we went one element beyond the end of the array so the iterator wasn't in the correct place and it would always return -EINVAL. However, now it will always be in the correct place. I deleted the check since we know the result. Уязвимость компонента dmaengine ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Add down_write(trace_event_sem) when adding trace event When a module is loaded, it adds trace events defined by the module. It may also need to modify the modules trace printk formats to replace enum names with their values. If two modules are loaded at the same time, the adding of the event to the ftrace_events list can corrupt the walking of the list in the code that is modifying the printk format strings and crash the kernel. The addition of the event should take the trace_event_sem for write while it adds the new event. Also add a lockdep_assert_held() on that semaphore in __trace_add_event_dirs() as it iterates the list. Уязвимость ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: quirks: Add quirk for 2 Chicony Electronics HP 5MP Cameras The Chicony Electronics HP 5MP Cameras (USB ID 04F2:B824 & 04F2:B82C) report a HID sensor interface that is not actually implemented. Attempting to access this non-functional sensor via iio_info causes system hangs as runtime PM tries to wake up an unresponsive sensor. Add these 2 devices to the HID ignore list since the sensor interface is non-functional by design and should not be exposed to userspace. Уязвимость компонента quirks ядра операционной системы Linux связана с нарушением ожидаемого поведения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: appletalk: Fix device refcount leak in atrtr_create() When updating an existing route entry in atrtr_create(), the old device reference was not being released before assigning the new device, leading to a device refcount leak. Fix this by calling dev_put() to release the old device reference before holding the new one. Уязвимость компонента appletalk ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/tegra: nvdec: Fix dma_alloc_coherent error check Check for NULL return value with dma_alloc_coherent, in line with Robin's fix for vic.c in 'drm/tegra: vic: Fix DMA API misuse'. Уязвимость компонента drm/tegra ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix memory leak of struct clip_vcc. ioctl(ATMARP_MKIP) allocates struct clip_vcc and set it to vcc->user_back. The code assumes that vcc_destroy_socket() passes NULL skb to vcc->push() when the socket is close()d, and then clip_push() frees clip_vcc. However, ioctl(ATMARPD_CTRL) sets NULL to vcc->push() in atm_init_atmarp(), resulting in memory leak. Let's serialise two ioctl() by lock_sock() and check vcc->push() in atm_init_atmarp() to prevent memleak. Уязвимость компонента atm ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwmon: (corsair-cpro) Validate the size of the received input buffer Add buffer_recv_size to store the size of the received bytes. Validate buffer_recv_size in send_usb_cmd(). Уязвимость компонента hwmon ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: mcast: Delay put pmc->idev in mld_del_delrec() pmc->idev is still used in ip6_mc_clear_src(), so as mld_clear_delrec() does, the reference should be put after ip6_mc_clear_src() return. Уязвимость компонента mcast ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: plug races between subflow fail and subflow creation We have races similar to the one addressed by the previous patch between subflow failing and additional subflow creation. They are just harder to trigger. The solution is similar. Use a separate flag to track the condition 'socket state prevent any additional subflow creation' protected by the fallback lock. The socket fallback makes such flag true, and also receiving or sending an MP_FAIL option. The field 'allow_infinite_fallback' is now always touched under the relevant lock, we can drop the ONCE annotation on write. Уязвимость компонентов tmptcp ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H', score=9.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget : fix use-after-free in composite_dev_cleanup() 1. In func configfs_composite_bind() -> composite_os_desc_req_prepare(): if kmalloc fails, the pointer cdev->os_desc_req will be freed but not set to NULL. Then it will return a failure to the upper-level function. 2. in func configfs_composite_bind() -> composite_dev_cleanup(): it will checks whether cdev->os_desc_req is NULL. If it is not NULL, it will attempt to use it.This will lead to a use-after-free issue. BUG: KASAN: use-after-free in composite_dev_cleanup+0xf4/0x2c0 Read of size 8 at addr 0000004827837a00 by task init/1 CPU: 10 PID: 1 Comm: init Tainted: G O 5.10.97-oh #1 kasan_report+0x188/0x1cc __asan_load8+0xb4/0xbc composite_dev_cleanup+0xf4/0x2c0 configfs_composite_bind+0x210/0x7ac udc_bind_to_driver+0xb4/0x1ec usb_gadget_probe_driver+0xec/0x21c gadget_dev_desc_UDC_store+0x264/0x27c Уязвимость функции composite_dev_cleanup() компонента usb ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/sev: Evict cache lines during SNP memory validation An SNP cache coherency vulnerability requires a cache line eviction mitigation when validating memory after a page state change to private. The specific mitigation is to touch the first and last byte of each 4K page that is being validated. There is no need to perform the mitigation when performing a page state change to shared and rescinding validation. CPUID bit Fn8000001F_EBX[31] defines the COHERENCY_SFW_NO CPUID bit that, when set, indicates that the software mitigation for this vulnerability is not needed. Implement the mitigation and invoke it when validating memory (making it private) and the COHERENCY_SFW_NO bit is not set, indicating the SNP guest is vulnerable. Уязвимость ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix Preauh_HashValue race condition If client send multiple session setup requests to ksmbd, Preauh_HashValue race condition could happen. There is no need to free sess->Preauh_HashValue at session setup phase. It can be freed together with session at connection termination phase. Уязвимость компонента ksmbd ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-38561 необходимо запретить загрузку модуля ksmbd.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ksmbd в ядро Linux, необходимо выполнить одну из команд: `lsmod | grep ksmbd` или `kmod list | grep ksmbd` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: `sudo rmmod ksmbd` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: `install ksmbd /bin/true` 5. Обновить параметры загрузки командой: `sudo update-initramfs -uk all` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix null pointer dereference error in generate_encryptionkey If client send two session setups with krb5 authenticate to ksmbd, null pointer dereference error in generate_encryptionkey could happen. sess->Preauth_HashValue is set to NULL if session is valid. So this patch skip generate encryption key if session is valid. Уязвимость функции generate_encryptionkey() компонента ksmbd ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/core: Prevent VMA split of buffer mappings The perf mmap code is careful about mmap()'ing the user page with the ringbuffer and additionally the auxiliary buffer, when the event supports it. Once the first mapping is established, subsequent mapping have to use the same offset and the same size in both cases. The reference counting for the ringbuffer and the auxiliary buffer depends on this being correct. Though perf does not prevent that a related mapping is split via mmap(2), munmap(2) or mremap(2). A split of a VMA results in perf_mmap_open() calls, which take reference counts, but then the subsequent perf_mmap_close() calls are not longer fulfilling the offset and size checks. This leads to reference count leaks. As perf already has the requirement for subsequent mappings to match the initial mapping, the obvious consequence is that VMA splits, caused by resizing of a mapping or partial unmapping, have to be prevented. Implement the vm_operations_struct::may_split() callback and return unconditionally -EINVAL. That ensures that the mapping offsets and sizes cannot be changed after the fact. Remapping to a different fixed address with the same size is still possible as it takes the references for the new mapping and drops those of the old mapping. Уязвимость функции mmap() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/core: Exit early on perf_mmap() fail When perf_mmap() fails to allocate a buffer, it still invokes the event_mapped() callback of the related event. On X86 this might increase the perf_rdpmc_allowed reference counter. But nothing undoes this as perf_mmap_close() is never called in this case, which causes another reference count leak. Return early on failure to prevent that. Уязвимость компонента perf/core ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: benet: fix BUG when creating VFs benet crashes as soon as SRIOV VFs are created: kernel BUG at mm/vmalloc.c:3457! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI CPU: 4 UID: 0 PID: 7408 Comm: test.sh Kdump: loaded Not tainted 6.16.0+ #1 PREEMPT(voluntary) [...] RIP: 0010:vunmap+0x5f/0x70 [...] Call Trace: <TASK> __iommu_dma_free+0xe8/0x1c0 be_cmd_set_mac_list+0x3fe/0x640 [be2net] be_cmd_set_mac+0xaf/0x110 [be2net] be_vf_eth_addr_config+0x19f/0x330 [be2net] be_vf_setup+0x4f7/0x990 [be2net] be_pci_sriov_configure+0x3a1/0x470 [be2net] sriov_numvfs_store+0x20b/0x380 kernfs_fop_write_iter+0x354/0x530 vfs_write+0x9b9/0xf60 ksys_write+0xf3/0x1d0 do_syscall_64+0x8c/0x3d0 be_cmd_set_mac_list() calls dma_free_coherent() under a spin_lock_bh. Fix it by freeing only after the lock has been released. Уязвимость компонента mm/vmalloc.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: reject malicious packets in ipv6_gso_segment() syzbot was able to craft a packet with very long IPv6 extension headers leading to an overflow of skb->transport_header. This 16bit field has a limited range. Add skb_reset_transport_header_careful() helper and use it from ipv6_gso_segment() WARNING: CPU: 0 PID: 5871 at ./include/linux/skbuff.h:3032 skb_reset_transport_header include/linux/skbuff.h:3032 [inline] WARNING: CPU: 0 PID: 5871 at ./include/linux/skbuff.h:3032 ipv6_gso_segment+0x15e2/0x21e0 net/ipv6/ip6_offload.c:151 Modules linked in: CPU: 0 UID: 0 PID: 5871 Comm: syz-executor211 Not tainted 6.16.0-rc6-syzkaller-g7abc678e3084 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:skb_reset_transport_header include/linux/skbuff.h:3032 [inline] RIP: 0010:ipv6_gso_segment+0x15e2/0x21e0 net/ipv6/ip6_offload.c:151 Call Trace: <TASK> skb_mac_gso_segment+0x31c/0x640 net/core/gso.c:53 nsh_gso_segment+0x54a/0xe10 net/nsh/nsh.c:110 skb_mac_gso_segment+0x31c/0x640 net/core/gso.c:53 __skb_gso_segment+0x342/0x510 net/core/gso.c:124 skb_gso_segment include/net/gso.h:83 [inline] validate_xmit_skb+0x857/0x11b0 net/core/dev.c:3950 validate_xmit_skb_list+0x84/0x120 net/core/dev.c:4000 sch_direct_xmit+0xd3/0x4b0 net/sched/sch_generic.c:329 __dev_xmit_skb net/core/dev.c:4102 [inline] __dev_queue_xmit+0x17b6/0x3a70 net/core/dev.c:4679 Уязвимость компонента ipv6 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pptp: ensure minimal skb length in pptp_xmit() Commit aabc6596ffb3 ("net: ppp: Add bound checking for skb data on ppp_sync_txmung") fixed ppp_sync_txmunge() We need a similar fix in pptp_xmit(), otherwise we might read uninit data as reported by syzbot. BUG: KMSAN: uninit-value in pptp_xmit+0xc34/0x2720 drivers/net/ppp/pptp.c:193 pptp_xmit+0xc34/0x2720 drivers/net/ppp/pptp.c:193 ppp_channel_bridge_input drivers/net/ppp/ppp_generic.c:2290 [inline] ppp_input+0x1d6/0xe60 drivers/net/ppp/ppp_generic.c:2314 pppoe_rcv_core+0x1e8/0x760 drivers/net/ppp/pppoe.c:379 sk_backlog_rcv+0x142/0x420 include/net/sock.h:1148 __release_sock+0x1d3/0x330 net/core/sock.c:3213 release_sock+0x6b/0x270 net/core/sock.c:3767 pppoe_sendmsg+0x15d/0xcb0 drivers/net/ppp/pppoe.c:904 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:727 ____sys_sendmsg+0x893/0xd80 net/socket.c:2566 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2620 __sys_sendmmsg+0x2d9/0x7c0 net/socket.c:2709 Уязвимость компонента pptp ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: use aead_request_free to match aead_request_alloc Use aead_request_free() instead of kfree() to properly free memory allocated by aead_request_alloc(). This ensures sensitive crypto data is zeroed before being freed. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/eeh: Make EEH driver device hotplug safe Multiple race conditions existed between the PCIe hotplug driver and the EEH driver, leading to a variety of kernel oopses of the same general nature: <pcie device unplug> <eeh driver trigger> <hotplug removal trigger> <pcie tree reconfiguration> <eeh recovery next step> <oops in EEH driver bus iteration loop> A second class of oops is also seen when the underlying bus disappears during device recovery. Refactor the EEH module to be PCI rescan and remove safe. Also clean up a few minor formatting / readability issues. Уязвимость модуля powerpc/eeh ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid panic in f2fs_evict_inode As syzbot [1] reported as below: R10: 0000000000000100 R11: 0000000000000206 R12: 00007ffe17473450 R13: 00007f28b1c10854 R14: 000000000000dae5 R15: 00007ffe17474520 </TASK> ---[ end trace 0000000000000000 ]--- ================================================================== BUG: KASAN: use-after-free in __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 Read of size 8 at addr ffff88812d962278 by task syz-executor/564 CPU: 1 PID: 564 Comm: syz-executor Tainted: G W 6.1.129-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack+0x21/0x24 lib/dump_stack.c:88 dump_stack_lvl+0xee/0x158 lib/dump_stack.c:106 print_address_description+0x71/0x210 mm/kasan/report.c:316 print_report+0x4a/0x60 mm/kasan/report.c:427 kasan_report+0x122/0x150 mm/kasan/report.c:531 __asan_report_load8_noabort+0x14/0x20 mm/kasan/report_generic.c:351 __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 __list_del_entry include/linux/list.h:134 [inline] list_del_init include/linux/list.h:206 [inline] f2fs_inode_synced+0xf7/0x2e0 fs/f2fs/super.c:1531 f2fs_update_inode+0x74/0x1c40 fs/f2fs/inode.c:585 f2fs_update_inode_page+0x137/0x170 fs/f2fs/inode.c:703 f2fs_write_inode+0x4ec/0x770 fs/f2fs/inode.c:731 write_inode fs/fs-writeback.c:1460 [inline] __writeback_single_inode+0x4a0/0xab0 fs/fs-writeback.c:1677 writeback_single_inode+0x221/0x8b0 fs/fs-writeback.c:1733 sync_inode_metadata+0xb6/0x110 fs/fs-writeback.c:2789 f2fs_sync_inode_meta+0x16d/0x2a0 fs/f2fs/checkpoint.c:1159 block_operations fs/f2fs/checkpoint.c:1269 [inline] f2fs_write_checkpoint+0xca3/0x2100 fs/f2fs/checkpoint.c:1658 kill_f2fs_super+0x231/0x390 fs/f2fs/super.c:4668 deactivate_locked_super+0x98/0x100 fs/super.c:332 deactivate_super+0xaf/0xe0 fs/super.c:363 cleanup_mnt+0x45f/0x4e0 fs/namespace.c:1186 __cleanup_mnt+0x19/0x20 fs/namespace.c:1193 task_work_run+0x1c6/0x230 kernel/task_work.c:203 exit_task_work include/linux/task_work.h:39 [inline] do_exit+0x9fb/0x2410 kernel/exit.c:871 do_group_exit+0x210/0x2d0 kernel/exit.c:1021 __do_sys_exit_group kernel/exit.c:1032 [inline] __se_sys_exit_group kernel/exit.c:1030 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1030 x64_sys_call+0x7b4/0x9a0 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x4c/0xa0 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x68/0xd2 RIP: 0033:0x7f28b1b8e169 Code: Unable to access opcode bytes at 0x7f28b1b8e13f. RSP: 002b:00007ffe174710a8 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 00007f28b1c10879 RCX: 00007f28b1b8e169 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000001 RBP: 0000000000000002 R08: 00007ffe1746ee47 R09: 00007ffe17472360 R10: 0000000000000009 R11: 0000000000000246 R12: 00007ffe17472360 R13: 00007f28b1c10854 R14: 000000000000dae5 R15: 00007ffe17474520 </TASK> Allocated by task 569: kasan_save_stack mm/kasan/common.c:45 [inline] kasan_set_track+0x4b/0x70 mm/kasan/common.c:52 kasan_save_alloc_info+0x25/0x30 mm/kasan/generic.c:505 __kasan_slab_alloc+0x72/0x80 mm/kasan/common.c:328 kasan_slab_alloc include/linux/kasan.h:201 [inline] slab_post_alloc_hook+0x4f/0x2c0 mm/slab.h:737 slab_alloc_node mm/slub.c:3398 [inline] slab_alloc mm/slub.c:3406 [inline] __kmem_cache_alloc_lru mm/slub.c:3413 [inline] kmem_cache_alloc_lru+0x104/0x220 mm/slub.c:3429 alloc_inode_sb include/linux/fs.h:3245 [inline] f2fs_alloc_inode+0x2d/0x340 fs/f2fs/super.c:1419 alloc_inode fs/inode.c:261 [inline] iget_locked+0x186/0x880 fs/inode.c:1373 f2fs_iget+0x55/0x4c60 fs/f2fs/inode.c:483 f2fs_lookup+0x366/0xab0 fs/f2fs/namei.c:487 __lookup_slow+0x2a3/0x3d0 fs/namei.c:1690 lookup_slow+0x57/0x70 fs/namei.c:1707 walk_component+0x2e6/0x410 fs/namei ---truncated--- Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid UAF in f2fs_sync_inode_meta() syzbot reported an UAF issue as below: [1] [2] [1] https://syzkaller.appspot.com/text?tag=CrashReport&x=16594c60580000 ================================================================== BUG: KASAN: use-after-free in __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 Read of size 8 at addr ffff888100567dc8 by task kworker/u4:0/8 CPU: 1 PID: 8 Comm: kworker/u4:0 Tainted: G W 6.1.129-syzkaller-00017-g642656a36791 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Workqueue: writeback wb_workfn (flush-7:0) Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x151/0x1b7 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:316 [inline] print_report+0x158/0x4e0 mm/kasan/report.c:427 kasan_report+0x13c/0x170 mm/kasan/report.c:531 __asan_report_load8_noabort+0x14/0x20 mm/kasan/report_generic.c:351 __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 __list_del_entry include/linux/list.h:134 [inline] list_del_init include/linux/list.h:206 [inline] f2fs_inode_synced+0x100/0x2e0 fs/f2fs/super.c:1553 f2fs_update_inode+0x72/0x1c40 fs/f2fs/inode.c:588 f2fs_update_inode_page+0x135/0x170 fs/f2fs/inode.c:706 f2fs_write_inode+0x416/0x790 fs/f2fs/inode.c:734 write_inode fs/fs-writeback.c:1460 [inline] __writeback_single_inode+0x4cf/0xb80 fs/fs-writeback.c:1677 writeback_sb_inodes+0xb32/0x1910 fs/fs-writeback.c:1903 __writeback_inodes_wb+0x118/0x3f0 fs/fs-writeback.c:1974 wb_writeback+0x3da/0xa00 fs/fs-writeback.c:2081 wb_check_background_flush fs/fs-writeback.c:2151 [inline] wb_do_writeback fs/fs-writeback.c:2239 [inline] wb_workfn+0xbba/0x1030 fs/fs-writeback.c:2266 process_one_work+0x73d/0xcb0 kernel/workqueue.c:2299 worker_thread+0xa60/0x1260 kernel/workqueue.c:2446 kthread+0x26d/0x300 kernel/kthread.c:386 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:295 </TASK> Allocated by task 298: kasan_save_stack mm/kasan/common.c:45 [inline] kasan_set_track+0x4b/0x70 mm/kasan/common.c:52 kasan_save_alloc_info+0x1f/0x30 mm/kasan/generic.c:505 __kasan_slab_alloc+0x6c/0x80 mm/kasan/common.c:333 kasan_slab_alloc include/linux/kasan.h:202 [inline] slab_post_alloc_hook+0x53/0x2c0 mm/slab.h:768 slab_alloc_node mm/slub.c:3421 [inline] slab_alloc mm/slub.c:3431 [inline] __kmem_cache_alloc_lru mm/slub.c:3438 [inline] kmem_cache_alloc_lru+0x102/0x270 mm/slub.c:3454 alloc_inode_sb include/linux/fs.h:3255 [inline] f2fs_alloc_inode+0x2d/0x350 fs/f2fs/super.c:1437 alloc_inode fs/inode.c:261 [inline] iget_locked+0x18c/0x7e0 fs/inode.c:1373 f2fs_iget+0x55/0x4ca0 fs/f2fs/inode.c:486 f2fs_lookup+0x3c1/0xb50 fs/f2fs/namei.c:484 __lookup_slow+0x2b9/0x3e0 fs/namei.c:1689 lookup_slow+0x5a/0x80 fs/namei.c:1706 walk_component+0x2e7/0x410 fs/namei.c:1997 lookup_last fs/namei.c:2454 [inline] path_lookupat+0x16d/0x450 fs/namei.c:2478 filename_lookup+0x251/0x600 fs/namei.c:2507 vfs_statx+0x107/0x4b0 fs/stat.c:229 vfs_fstatat fs/stat.c:267 [inline] vfs_lstat include/linux/fs.h:3434 [inline] __do_sys_newlstat fs/stat.c:423 [inline] __se_sys_newlstat+0xda/0x7c0 fs/stat.c:417 __x64_sys_newlstat+0x5b/0x70 fs/stat.c:417 x64_sys_call+0x52/0x9a0 arch/x86/include/generated/asm/syscalls_64.h:7 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x3b/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x68/0xd2 Freed by task 0: kasan_save_stack mm/kasan/common.c:45 [inline] kasan_set_track+0x4b/0x70 mm/kasan/common.c:52 kasan_save_free_info+0x2b/0x40 mm/kasan/generic.c:516 ____kasan_slab_free+0x131/0x180 mm/kasan/common.c:241 __kasan_slab_free+0x11/0x20 mm/kasan/common.c:249 kasan_slab_free include/linux/kasan.h:178 [inline] slab_free_hook mm/slub.c:1745 [inline] slab_free_freelist_hook mm/slub.c:1771 [inline] slab_free mm/slub.c:3686 [inline] kmem_cache_free+0x ---truncated--- Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix KMSAN uninit-value in extent_info usage KMSAN reported a use of uninitialized value in `__is_extent_mergeable()` and `__is_back_mergeable()` via the read extent tree path. The root cause is that `get_read_extent_info()` only initializes three fields (`fofs`, `blk`, `len`) of `struct extent_info`, leaving the remaining fields uninitialized. This leads to undefined behavior when those fields are accessed later, especially during extent merging. Fix it by zero-initializing the `extent_info` struct before population. Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: ccp - Fix crash when rebind ccp device for ccp.ko When CONFIG_CRYPTO_DEV_CCP_DEBUGFS is enabled, rebinding the ccp device causes the following crash: $ echo '0000:0a:00.2' > /sys/bus/pci/drivers/ccp/unbind $ echo '0000:0a:00.2' > /sys/bus/pci/drivers/ccp/bind [ 204.976930] BUG: kernel NULL pointer dereference, address: 0000000000000098 [ 204.978026] #PF: supervisor write access in kernel mode [ 204.979126] #PF: error_code(0x0002) - not-present page [ 204.980226] PGD 0 P4D 0 [ 204.981317] Oops: Oops: 0002 [#1] SMP NOPTI ... [ 204.997852] Call Trace: [ 204.999074] <TASK> [ 205.000297] start_creating+0x9f/0x1c0 [ 205.001533] debugfs_create_dir+0x1f/0x170 [ 205.002769] ? srso_return_thunk+0x5/0x5f [ 205.004000] ccp5_debugfs_setup+0x87/0x170 [ccp] [ 205.005241] ccp5_init+0x8b2/0x960 [ccp] [ 205.006469] ccp_dev_init+0xd4/0x150 [ccp] [ 205.007709] sp_init+0x5f/0x80 [ccp] [ 205.008942] sp_pci_probe+0x283/0x2e0 [ccp] [ 205.010165] ? srso_return_thunk+0x5/0x5f [ 205.011376] local_pci_probe+0x4f/0xb0 [ 205.012584] pci_device_probe+0xdb/0x230 [ 205.013810] really_probe+0xed/0x380 [ 205.015024] __driver_probe_device+0x7e/0x160 [ 205.016240] device_driver_attach+0x2f/0x60 [ 205.017457] bind_store+0x7c/0xb0 [ 205.018663] drv_attr_store+0x28/0x40 [ 205.019868] sysfs_kf_write+0x5f/0x70 [ 205.021065] kernfs_fop_write_iter+0x145/0x1d0 [ 205.022267] vfs_write+0x308/0x440 [ 205.023453] ksys_write+0x6d/0xe0 [ 205.024616] __x64_sys_write+0x1e/0x30 [ 205.025778] x64_sys_call+0x16ba/0x2150 [ 205.026942] do_syscall_64+0x56/0x1e0 [ 205.028108] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 205.029276] RIP: 0033:0x7fbc36f10104 [ 205.030420] Code: 89 02 48 c7 c0 ff ff ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 66 90 48 8d 05 e1 08 2e 00 8b 00 85 c0 75 13 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 54 f3 c3 66 90 41 54 55 49 89 d4 53 48 89 f5 This patch sets ccp_debugfs_dir to NULL after destroying it in ccp5_debugfs_destroy, allowing the directory dentry to be recreated when rebinding the ccp device. Tested on AMD Ryzen 7 1700X. Уязвимость компонента crypto ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: xilinx: vcu: unregister pll_post only if registered correctly If registration of pll_post is failed, it will be set to NULL or ERR, unregistering same will fail with following call trace: Unable to handle kernel NULL pointer dereference at virtual address 008 pc : clk_hw_unregister+0xc/0x20 lr : clk_hw_unregister_fixed_factor+0x18/0x30 sp : ffff800011923850 ... Call trace: clk_hw_unregister+0xc/0x20 clk_hw_unregister_fixed_factor+0x18/0x30 xvcu_unregister_clock_provider+0xcc/0xf4 [xlnx_vcu] xvcu_probe+0x2bc/0x53c [xlnx_vcu] Уязвимость компонента xilinx ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: fix possible infinite loop in fib6_info_uses_dev() fib6_info_uses_dev() seems to rely on RCU without an explicit protection. Like the prior fix in rt6_nlmsg_size(), we need to make sure fib6_del_route() or fib6_add_rt2node() have not removed the anchor from the list, or we risk an infinite loop. Уязвимость компонента ipv6 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent infinite loop in rt6_nlmsg_size() While testing prior patch, I was able to trigger an infinite loop in rt6_nlmsg_size() in the following place: list_for_each_entry_rcu(sibling, &f6i->fib6_siblings, fib6_siblings) { rt6_nh_nlmsg_size(sibling->fib6_nh, &nexthop_len); } This is because fib6_del_route() and fib6_add_rt2node() uses list_del_rcu(), which can confuse rcu readers, because they might no longer see the head of the list. Restart the loop if f6i->fib6_nsiblings is zero. Уязвимость компонента ipv6 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: clear initialized flag for deinit-ed srng lists In a number of cases we see kernel panics on resume due to ath11k kernel page fault, which happens under the following circumstances: 1) First ath11k_hal_dump_srng_stats() call Last interrupt received for each group: ath11k_pci 0000:01:00.0: group_id 0 22511ms before ath11k_pci 0000:01:00.0: group_id 1 14440788ms before [..] ath11k_pci 0000:01:00.0: failed to receive control response completion, polling.. ath11k_pci 0000:01:00.0: Service connect timeout ath11k_pci 0000:01:00.0: failed to connect to HTT: -110 ath11k_pci 0000:01:00.0: failed to start core: -110 ath11k_pci 0000:01:00.0: firmware crashed: MHI_CB_EE_RDDM ath11k_pci 0000:01:00.0: already resetting count 2 ath11k_pci 0000:01:00.0: failed to wait wlan mode request (mode 4): -110 ath11k_pci 0000:01:00.0: qmi failed to send wlan mode off: -110 ath11k_pci 0000:01:00.0: failed to reconfigure driver on crash recovery [..] 2) At this point reconfiguration fails (we have 2 resets) and ath11k_core_reconfigure_on_crash() calls ath11k_hal_srng_deinit() which destroys srng lists. However, it does not reset per-list ->initialized flag. 3) Second ath11k_hal_dump_srng_stats() call sees stale ->initialized flag and attempts to dump srng stats: Last interrupt received for each group: ath11k_pci 0000:01:00.0: group_id 0 66785ms before ath11k_pci 0000:01:00.0: group_id 1 14485062ms before ath11k_pci 0000:01:00.0: group_id 2 14485062ms before ath11k_pci 0000:01:00.0: group_id 3 14485062ms before ath11k_pci 0000:01:00.0: group_id 4 14780845ms before ath11k_pci 0000:01:00.0: group_id 5 14780845ms before ath11k_pci 0000:01:00.0: group_id 6 14485062ms before ath11k_pci 0000:01:00.0: group_id 7 66814ms before ath11k_pci 0000:01:00.0: group_id 8 68997ms before ath11k_pci 0000:01:00.0: group_id 9 67588ms before ath11k_pci 0000:01:00.0: group_id 10 69511ms before BUG: unable to handle page fault for address: ffffa007404eb010 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 100000067 P4D 100000067 PUD 10022d067 PMD 100b01067 PTE 0 Oops: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:ath11k_hal_dump_srng_stats+0x2b4/0x3b0 [ath11k] Call Trace: <TASK> ? __die_body+0xae/0xb0 ? page_fault_oops+0x381/0x3e0 ? exc_page_fault+0x69/0xa0 ? asm_exc_page_fault+0x22/0x30 ? ath11k_hal_dump_srng_stats+0x2b4/0x3b0 [ath11k (HASH:6cea 4)] ath11k_qmi_driver_event_work+0xbd/0x1050 [ath11k (HASH:6cea 4)] worker_thread+0x389/0x930 kthread+0x149/0x170 Clear per-list ->initialized flag in ath11k_hal_srng_deinit(). Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iwlwifi: Add missing check for alloc_ordered_workqueue Add check for the return value of alloc_ordered_workqueue since it may return NULL pointer. Уязвимость компонента iwlwifi ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl818x: Kill URBs before clearing tx status queue In rtl8187_stop() move the call of usb_kill_anchored_urbs() before clearing b_tx_status.queue. This change prevents callbacks from using already freed skb due to anchor was not killed before freeing such skb. BUG: kernel NULL pointer dereference, address: 0000000000000080 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 7 UID: 0 PID: 0 Comm: swapper/7 Not tainted 6.15.0 #8 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 0.0.0 02/06/2015 RIP: 0010:ieee80211_tx_status_irqsafe+0x21/0xc0 [mac80211] Call Trace: <IRQ> rtl8187_tx_cb+0x116/0x150 [rtl8187] __usb_hcd_giveback_urb+0x9d/0x120 usb_giveback_urb_bh+0xbb/0x140 process_one_work+0x19b/0x3c0 bh_worker+0x1a7/0x210 tasklet_action+0x10/0x30 handle_softirqs+0xf0/0x340 __irq_exit_rcu+0xcd/0xf0 common_interrupt+0x85/0xa0 </IRQ> Tested on RTL8187BvE device. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента wifi ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, ktls: Fix data corruption when using bpf_msg_pop_data() in ktls When sending plaintext data, we initially calculated the corresponding ciphertext length. However, if we later reduced the plaintext data length via socket policy, we failed to recalculate the ciphertext length. This results in transmitting buffers containing uninitialized data during ciphertext transmission. This causes uninitialized bytes to be appended after a complete "Application Data" packet, leading to errors on the receiving end when parsing TLS record. Уязвимость компонентов bpf и ktls ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L', score=8.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PM / devfreq: Check governor before using governor->name Commit 96ffcdf239de ("PM / devfreq: Remove redundant governor_name from struct devfreq") removes governor_name and uses governor->name to replace it. But devfreq->governor may be NULL and directly using devfreq->governor->name may cause null pointer exception. Move the check of governor to before using governor->name. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powercap: dtpm_cpu: Fix NULL pointer dereference in get_pd_power_uw() The get_pd_power_uw() function can crash with a NULL pointer dereference when em_cpu_get() returns NULL. This occurs when a CPU becomes impossible during runtime, causing get_cpu_device() to return NULL, which propagates through em_cpu_get() and leads to a crash when em_span_cpus() dereferences the NULL pointer. Add a NULL check after em_cpu_get() and return 0 if unavailable, matching the existing fallback behavior in __dtpm_cpu_setup(). [ rjw: Drop an excess empty code line ] Уязвимость компонента dtpm_cpu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: fbtft: fix potential memory leak in fbtft_framebuffer_alloc() In the error paths after fb_info structure is successfully allocated, the memory allocated in fb_deferred_io_init() for info->pagerefs is not freed. Fix that by adding the cleanup function on the error path. Уязвимость компонента fbtft ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: eventpoll: Fix semi-unbounded recursion Ensure that epoll instances can never form a graph deeper than EP_MAX_NESTS+1 links. Currently, ep_loop_check_proc() ensures that the graph is loop-free and does some recursion depth checks, but those recursion depth checks don't limit the depth of the resulting tree for two reasons: - They don't look upwards in the tree. - If there are multiple downwards paths of different lengths, only one of the paths is actually considered for the depth check since commit 28d82dc1c4ed ("epoll: limit paths"). Essentially, the current recursion depth check in ep_loop_check_proc() just serves to prevent it from recursing too deeply while checking for loops. A more thorough check is done in reverse_path_check() after the new graph edge has already been created; this checks, among other things, that no paths going upwards from any non-epoll file with a length of more than 5 edges exist. However, this check does not apply to non-epoll files. As a result, it is possible to recurse to a depth of at least roughly 500, tested on v6.15. (I am unsure if deeper recursion is possible; and this may have changed with commit 8c44dac8add7 ("eventpoll: Fix priority inversion problem").) To fix it: 1. In ep_loop_check_proc(), note the subtree depth of each visited node, and use subtree depths for the total depth calculation even when a subtree has already been visited. 2. Add ep_get_upwards_depth_proc() for similarly determining the maximum depth of an upwards walk. 3. In ep_loop_check(), use these values to limit the total path length between epoll nodes to EP_MAX_NESTS edges. Уязвимость компонента eventpoll ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: handle data disappearing from under the TLS ULP TLS expects that it owns the receive queue of the TCP socket. This cannot be guaranteed in case the reader of the TCP socket entered before the TLS ULP was installed, or uses some non-standard read API (eg. zerocopy ones). Replace the WARN_ON() and a buggy early exit (which leaves anchor pointing to a freed skb) with real error handling. Wipe the parsing state and tell the reader to retry. We already reload the anchor every time we (re)acquire the socket lock, so the only condition we need to avoid is an out of bounds read (not having enough bytes in the socket for previously parsed record len). If some data was read from under TLS but there's enough in the queue we'll reload and decrypt what is most likely not a valid TLS record. Leading to some undefined behavior from TLS perspective (corrupting a stream? missing an alert? missing an attack?) but no kernel crash should take place. Уязвимость компонента net/tls ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tls ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/packet: fix a race in packet_set_ring() and packet_notifier() When packet_set_ring() releases po->bind_lock, another thread can run packet_notifier() and process an NETDEV_UP event. This race and the fix are both similar to that of commit 15fe076edea7 ("net/packet: fix a race in packet_bind() and packet_notifier()"). There too the packet_notifier NETDEV_UP event managed to run while a po->bind_lock critical section had to be temporarily released. And the fix was similarly to temporarily set po->num to zero to keep the socket unhooked until the lock is retaken. The po->bind_lock in packet_set_ring and packet_notifier precede the introduction of git history. Уязвимость компонента net/packet/af_packet.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: Do not allow binding to VMADDR_PORT_ANY It is possible for a vsock to autobind to VMADDR_PORT_ANY. This can cause a use-after-free when a connection is made to the bound socket. The socket returned by accept() also has port VMADDR_PORT_ANY but is not on the list of unbound sockets. Binding it will result in an extra refcount decrement similar to the one fixed in fcdd2242c023 (vsock: Keep the binding until socket destruction). Modify the check in __vsock_bind_connectible() to also prevent binding to VMADDR_PORT_ANY. Уязвимость компонента vsock ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля vsock.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль vsock в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep vsock ``` или ``` kmod list | grep vsock ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod vsock ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install vsock /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: drop UFO packets in udp_rcv_segment() When sending a packet with virtio_net_hdr to tun device, if the gso_type in virtio_net_hdr is SKB_GSO_UDP and the gso_size is less than udphdr size, below crash may happen. ------------[ cut here ]------------ kernel BUG at net/core/skbuff.c:4572! Oops: invalid opcode: 0000 [#1] SMP NOPTI CPU: 0 UID: 0 PID: 62 Comm: mytest Not tainted 6.16.0-rc7 #203 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:skb_pull_rcsum+0x8e/0xa0 Code: 00 00 5b c3 cc cc cc cc 8b 93 88 00 00 00 f7 da e8 37 44 38 00 f7 d8 89 83 88 00 00 00 48 8b 83 c8 00 00 00 5b c3 cc cc cc cc <0f> 0b 0f 0b 66 66 2e 0f 1f 84 00 000 RSP: 0018:ffffc900001fba38 EFLAGS: 00000297 RAX: 0000000000000004 RBX: ffff8880040c1000 RCX: ffffc900001fb948 RDX: ffff888003e6d700 RSI: 0000000000000008 RDI: ffff88800411a062 RBP: ffff8880040c1000 R08: 0000000000000000 R09: 0000000000000001 R10: ffff888003606c00 R11: 0000000000000001 R12: 0000000000000000 R13: ffff888004060900 R14: ffff888004050000 R15: ffff888004060900 FS: 000000002406d3c0(0000) GS:ffff888084a19000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000040 CR3: 0000000004007000 CR4: 00000000000006f0 Call Trace: <TASK> udp_queue_rcv_one_skb+0x176/0x4b0 net/ipv4/udp.c:2445 udp_queue_rcv_skb+0x155/0x1f0 net/ipv4/udp.c:2475 udp_unicast_rcv_skb+0x71/0x90 net/ipv4/udp.c:2626 __udp4_lib_rcv+0x433/0xb00 net/ipv4/udp.c:2690 ip_protocol_deliver_rcu+0xa6/0x160 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x72/0x90 net/ipv4/ip_input.c:233 ip_sublist_rcv_finish+0x5f/0x70 net/ipv4/ip_input.c:579 ip_sublist_rcv+0x122/0x1b0 net/ipv4/ip_input.c:636 ip_list_rcv+0xf7/0x130 net/ipv4/ip_input.c:670 __netif_receive_skb_list_core+0x21d/0x240 net/core/dev.c:6067 netif_receive_skb_list_internal+0x186/0x2b0 net/core/dev.c:6210 napi_complete_done+0x78/0x180 net/core/dev.c:6580 tun_get_user+0xa63/0x1120 drivers/net/tun.c:1909 tun_chr_write_iter+0x65/0xb0 drivers/net/tun.c:1984 vfs_write+0x300/0x420 fs/read_write.c:593 ksys_write+0x60/0xd0 fs/read_write.c:686 do_syscall_64+0x50/0x1c0 arch/x86/entry/syscall_64.c:63 </TASK> To trigger gso segment in udp_queue_rcv_skb(), we should also set option UDP_ENCAP_ESPINUDP to enable udp_sk(sk)->encap_rcv. When the encap_rcv hook return 1 in udp_queue_rcv_one_skb(), udp_csum_pull_header() will try to pull udphdr, but the skb size has been segmented to gso size, which leads to this crash. Previous commit cf329aa42b66 ("udp: cope with UDP GRO packet misdirection") introduces segmentation in UDP receive path only for GRO, which was never intended to be used for UFO, so drop UFO packets in udp_rcv_segment(). Уязвимость компонента net ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: pnv_php: Fix surprise plug detection and recovery The existing PowerNV hotplug code did not handle surprise plug events correctly, leading to a complete failure of the hotplug system after device removal and a required reboot to detect new devices. This comes down to two issues: 1) When a device is surprise removed, often the bridge upstream port will cause a PE freeze on the PHB. If this freeze is not cleared, the MSI interrupts from the bridge hotplug notification logic will not be received by the kernel, stalling all plug events on all slots associated with the PE. 2) When a device is removed from a slot, regardless of surprise or programmatic removal, the associated PHB/PE ls left frozen. If this freeze is not cleared via a fundamental reset, skiboot is unable to clear the freeze and cannot retrain / rescan the slot. This also requires a reboot to clear the freeze and redetect the device in the slot. Issue the appropriate unfreeze and rescan commands on hotplug events, and don't oops on hotplug if pci_bus_to_OF_node() returns NULL. [bhelgaas: tidy comments] Уязвимость компонента pnv_php операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: pnv_php: Clean up allocated IRQs on unplug When the root of a nested PCIe bridge configuration is unplugged, the pnv_php driver leaked the allocated IRQ resources for the child bridges' hotplug event notifications, resulting in a panic. Fix this by walking all child buses and deallocating all its IRQ resources before calling pci_hp_remove_devices(). Also modify the lifetime of the workqueue at struct pnv_php_slot::wq so that it is only destroyed in pnv_php_free_slot(), instead of pnv_php_disable_irq(). This is required since pnv_php_disable_irq() will now be called by workers triggered by hot unplug interrupts, so the workqueue needs to stay allocated. The abridged kernel panic that occurs without this patch is as follows: WARNING: CPU: 0 PID: 687 at kernel/irq/msi.c:292 msi_device_data_release+0x6c/0x9c CPU: 0 UID: 0 PID: 687 Comm: bash Not tainted 6.14.0-rc5+ #2 Call Trace: msi_device_data_release+0x34/0x9c (unreliable) release_nodes+0x64/0x13c devres_release_all+0xc0/0x140 device_del+0x2d4/0x46c pci_destroy_dev+0x5c/0x194 pci_hp_remove_devices+0x90/0x128 pci_hp_remove_devices+0x44/0x128 pnv_php_disable_slot+0x54/0xd4 power_write_file+0xf8/0x18c pci_slot_attr_store+0x40/0x5c sysfs_kf_write+0x64/0x78 kernfs_fop_write_iter+0x1b0/0x290 vfs_write+0x3bc/0x50c ksys_write+0x84/0x140 system_call_exception+0x124/0x230 system_call_vectored_common+0x15c/0x2ec [bhelgaas: tidy comments] Уязвимость компонента pnv_php ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: imxfb: Check fb_add_videomode to prevent null-ptr-deref fb_add_videomode() can fail with -ENOMEM when its internal kmalloc() cannot allocate a struct fb_modelist. If that happens, the modelist stays empty but the driver continues to register. Add a check for its return value to prevent poteintial null-ptr-deref, which is similar to the commit 17186f1f90d3 ("fbdev: Fix do_register_framebuffer to prevent null-ptr-deref in fb_videomode_to_var"). Уязвимость компонента imxfb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: cpcap-charger: Fix null check for power_supply_get_by_name In the cpcap_usb_detect() function, the power_supply_get_by_name() function may return `NULL` instead of an error pointer. To prevent potential null pointer dereferences, Added a null check. Уязвимость компонента cpcap-charger ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: davinci: Add NULL check in davinci_lpsc_clk_register() devm_kasprintf() returns NULL when memory allocation fails. Currently, davinci_lpsc_clk_register() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue and ensuring no resources are left allocated. Уязвимость компонента davinci ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: skbprio: Remove overly strict queue assertions In the current implementation, skbprio enqueue/dequeue contains an assertion that fails under certain conditions when SKBPRIO is used as a child qdisc under TBF with specific parameters. The failure occurs because TBF sometimes peeks at packets in the child qdisc without actually dequeuing them when tokens are unavailable. This peek operation creates a discrepancy between the parent and child qdisc queue length counters. When TBF later receives a high-priority packet, SKBPRIO's queue length may show a different value than what's reflected in its internal priority queue tracking, triggering the assertion. The fix removes this overly strict assertions in SKBPRIO, they are not necessary at all. Уязвимость компонента net/sched/sch_skbprio.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: xt_nfacct: don't assume acct name is null-terminated BUG: KASAN: slab-out-of-bounds in .. lib/vsprintf.c:721 Read of size 1 at addr ffff88801eac95c8 by task syz-executor183/5851 [..] string+0x231/0x2b0 lib/vsprintf.c:721 vsnprintf+0x739/0xf00 lib/vsprintf.c:2874 [..] nfacct_mt_checkentry+0xd2/0xe0 net/netfilter/xt_nfacct.c:41 xt_check_match+0x3d1/0xab0 net/netfilter/x_tables.c:523 nfnl_acct_find_get() handles non-null input, but the error printk relied on its presence. Уязвимость компонента net/netfilter/xt_nfacct.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: reject TDLS operations when station is not associated syzbot triggered a WARN in ieee80211_tdls_oper() by sending NL80211_TDLS_ENABLE_LINK immediately after NL80211_CMD_CONNECT, before association completed and without prior TDLS setup. This left internal state like sdata->u.mgd.tdls_peer uninitialized, leading to a WARN_ON() in code paths that assumed it was valid. Reject the operation early if not in station mode or not associated. Уязвимость компонента net/mac80211/tdls.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Check device memory pointer before usage Add a NULL check before accessing device memory to prevent a crash if dev->dm allocation in mlx5_init_once() fails. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: remove mutex_lock check in hfsplus_free_extents Syzbot reported an issue in hfsplus filesystem: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 4400 at fs/hfsplus/extents.c:346 hfsplus_free_extents+0x700/0xad0 Call Trace: <TASK> hfsplus_file_truncate+0x768/0xbb0 fs/hfsplus/extents.c:606 hfsplus_write_begin+0xc2/0xd0 fs/hfsplus/inode.c:56 cont_expand_zero fs/buffer.c:2383 [inline] cont_write_begin+0x2cf/0x860 fs/buffer.c:2446 hfsplus_write_begin+0x86/0xd0 fs/hfsplus/inode.c:52 generic_cont_expand_simple+0x151/0x250 fs/buffer.c:2347 hfsplus_setattr+0x168/0x280 fs/hfsplus/inode.c:263 notify_change+0xe38/0x10f0 fs/attr.c:420 do_truncate+0x1fb/0x2e0 fs/open.c:65 do_sys_ftruncate+0x2eb/0x380 fs/open.c:193 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x3d/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd To avoid deadlock, Commit 31651c607151 ("hfsplus: avoid deadlock on file truncation") unlock extree before hfsplus_free_extents(), and add check wheather extree is locked in hfsplus_free_extents(). However, when operations such as hfsplus_file_release, hfsplus_setattr, hfsplus_unlink, and hfsplus_get_block are executed concurrently in different files, it is very likely to trigger the WARN_ON, which will lead syzbot and xfstest to consider it as an abnormality. The comment above this warning also describes one of the easy triggering situations, which can easily trigger and cause xfstest&syzbot to report errors. [task A] [task B] ->hfsplus_file_release ->hfsplus_file_truncate ->hfs_find_init ->mutex_lock ->mutex_unlock ->hfsplus_write_begin ->hfsplus_get_block ->hfsplus_file_extend ->hfsplus_ext_read_extent ->hfs_find_init ->mutex_lock ->hfsplus_free_extents WARN_ON(mutex_is_locked) !!! Several threads could try to lock the shared extents tree. And warning can be triggered in one thread when another thread has locked the tree. This is the wrong behavior of the code and we need to remove the warning. Уязвимость компонента fs/hfsplus/extents.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid out-of-boundary access in devs.path - touch /mnt/f2fs/012345678901234567890123456789012345678901234567890123 - truncate -s $((1024*1024*1024)) \ /mnt/f2fs/012345678901234567890123456789012345678901234567890123 - touch /mnt/f2fs/file - truncate -s $((1024*1024*1024)) /mnt/f2fs/file - mkfs.f2fs /mnt/f2fs/012345678901234567890123456789012345678901234567890123 \ -c /mnt/f2fs/file - mount /mnt/f2fs/012345678901234567890123456789012345678901234567890123 \ /mnt/f2fs/loop [16937.192225] F2FS-fs (loop0): Mount Device [ 0]: /mnt/f2fs/012345678901234567890123456789012345678901234567890123\xff\x01, 511, 0 - 3ffff [16937.192268] F2FS-fs (loop0): Failed to find devices If device path length equals to MAX_PATH_LEN, sbi->devs.path[] may not end up w/ null character due to path array is fully filled, So accidently, fields locate after path[] may be treated as part of device path, result in parsing wrong device path. struct f2fs_dev_info { ... char path[MAX_PATH_LEN]; ... }; Let's add one byte space for sbi->devs.path[] to store null character of device path string. Уязвимость компонента fs/f2fs/f2fs.h ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: proc: use the same treatment to check proc_lseek as ones for proc_read_iter et.al Check pde->proc_ops->proc_lseek directly may cause UAF in rmmod scenario. It's a gap in proc_reg_open() after commit 654b33ada4ab("proc: fix UAF in proc_get_inode()"). Followed by AI Viro's suggestion, fix it in same manner. Уязвимость компонента proc ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: reject invalid file types when reading inodes To prevent inodes with invalid file types from tripping through the vfs and causing malfunctions or assertion failures, add a missing sanity check when reading an inode from a block device. If the file type is not valid, treat it as a filesystem error. Уязвимость ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ice: Fix a null pointer dereference in ice_copy_and_init_pkg() Add check for the return value of devm_kmemdup() to prevent potential null pointer dereference. Уязвимость компонента ice/ice_ddp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: netlink: can_changelink(): fix NULL pointer deref of struct can_priv::do_set_mode Andrei Lalaev reported a NULL pointer deref when a CAN device is restarted from Bus Off and the driver does not implement the struct can_priv::do_set_mode callback. There are 2 code path that call struct can_priv::do_set_mode: - directly by a manual restart from the user space, via can_changelink() - delayed automatic restart after bus off (deactivated by default) To prevent the NULL pointer deference, refuse a manual restart or configure the automatic restart delay in can_changelink() and report the error via extack to user space. As an additional safety measure let can_restart() return an error if can_priv::do_set_mode is not set instead of dereferencing it unchecked. Уязвимость компонента netlink ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: appletalk: Fix use-after-free in AARP proxy probe The AARP proxy‐probe routine (aarp_proxy_probe_network) sends a probe, releases the aarp_lock, sleeps, then re-acquires the lock. During that window an expire timer thread (__aarp_expire_timer) can remove and kfree() the same entry, leading to a use-after-free. race condition: cpu 0 | cpu 1 atalk_sendmsg() | atif_proxy_probe_device() aarp_send_ddp() | aarp_proxy_probe_network() mod_timer() | lock(aarp_lock) // LOCK!! timeout around 200ms | alloc(aarp_entry) and then call | proxies[hash] = aarp_entry aarp_expire_timeout() | aarp_send_probe() | unlock(aarp_lock) // UNLOCK!! lock(aarp_lock) // LOCK!! | msleep(100); __aarp_expire_timer(&proxies[ct]) | free(aarp_entry) | unlock(aarp_lock) // UNLOCK!! | | lock(aarp_lock) // LOCK!! | UAF aarp_entry !! ================================================================== BUG: KASAN: slab-use-after-free in aarp_proxy_probe_network+0x560/0x630 net/appletalk/aarp.c:493 Read of size 4 at addr ffff8880123aa360 by task repro/13278 CPU: 3 UID: 0 PID: 13278 Comm: repro Not tainted 6.15.2 #3 PREEMPT(full) Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1b0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc1/0x630 mm/kasan/report.c:521 kasan_report+0xca/0x100 mm/kasan/report.c:634 aarp_proxy_probe_network+0x560/0x630 net/appletalk/aarp.c:493 atif_proxy_probe_device net/appletalk/ddp.c:332 [inline] atif_ioctl+0xb58/0x16c0 net/appletalk/ddp.c:857 atalk_ioctl+0x198/0x2f0 net/appletalk/ddp.c:1818 sock_do_ioctl+0xdc/0x260 net/socket.c:1190 sock_ioctl+0x239/0x6a0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x194/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcb/0x250 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Allocated: aarp_alloc net/appletalk/aarp.c:382 [inline] aarp_proxy_probe_network+0xd8/0x630 net/appletalk/aarp.c:468 atif_proxy_probe_device net/appletalk/ddp.c:332 [inline] atif_ioctl+0xb58/0x16c0 net/appletalk/ddp.c:857 atalk_ioctl+0x198/0x2f0 net/appletalk/ddp.c:1818 Freed: kfree+0x148/0x4d0 mm/slub.c:4841 __aarp_expire net/appletalk/aarp.c:90 [inline] __aarp_expire_timer net/appletalk/aarp.c:261 [inline] aarp_expire_timeout+0x480/0x6e0 net/appletalk/aarp.c:317 The buggy address belongs to the object at ffff8880123aa300 which belongs to the cache kmalloc-192 of size 192 The buggy address is located 96 bytes inside of freed 192-byte region [ffff8880123aa300, ffff8880123aa3c0) Memory state around the buggy address: ffff8880123aa200: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ffff8880123aa280: 00 00 00 00 fc fc fc fc fc fc fc fc fc fc fc fc >ffff8880123aa300: fa fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8880123aa380: fb fb fb fb fb fb fb fb fc fc fc fc fc fc fc fc ffff8880123aa400: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ================================================================== Уязвимость компонента net/appletalk/aarp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regulator: core: fix NULL dereference on unbind due to stale coupling data Failing to reset coupling_desc.n_coupled after freeing coupled_rdevs can lead to NULL pointer dereference when regulators are accessed post-unbind. This can happen during runtime PM or other regulator operations that rely on coupling metadata. For example, on ridesx4, unbinding the 'reg-dummy' platform device triggers a panic in regulator_lock_recursive() due to stale coupling state. Ensure n_coupled is set to 0 to prevent access to invalid pointers. Уязвимость компонента drivers/regulator/core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/entry: Mask DAIF in cpu_switch_to(), call_on_irq_stack() `cpu_switch_to()` and `call_on_irq_stack()` manipulate SP to change to different stacks along with the Shadow Call Stack if it is enabled. Those two stack changes cannot be done atomically and both functions can be interrupted by SErrors or Debug Exceptions which, though unlikely, is very much broken : if interrupted, we can end up with mismatched stacks and Shadow Call Stack leading to clobbered stacks. In `cpu_switch_to()`, it can happen when SP_EL0 points to the new task, but x18 stills points to the old task's SCS. When the interrupt handler tries to save the task's SCS pointer, it will save the old task SCS pointer (x18) into the new task struct (pointed to by SP_EL0), clobbering it. In `call_on_irq_stack()`, it can happen when switching from the task stack to the IRQ stack and when switching back. In both cases, we can be interrupted when the SCS pointer points to the IRQ SCS, but SP points to the task stack. The nested interrupt handler pushes its return addresses on the IRQ SCS. It then detects that SP points to the task stack, calls `call_on_irq_stack()` and clobbers the task SCS pointer with the IRQ SCS pointer, which it will also use ! This leads to tasks returning to addresses on the wrong SCS, or even on the IRQ SCS, triggering kernel panics via CONFIG_VMAP_STACK or FPAC if enabled. This is possible on a default config, but unlikely. However, when enabling CONFIG_ARM64_PSEUDO_NMI, DAIF is unmasked and instead the GIC is responsible for filtering what interrupts the CPU should receive based on priority. Given the goal of emulating NMIs, pseudo-NMIs can be received by the CPU even in `cpu_switch_to()` and `call_on_irq_stack()`, possibly *very* frequently depending on the system configuration and workload, leading to unpredictable kernel panics. Completely mask DAIF in `cpu_switch_to()` and restore it when returning. Do the same in `call_on_irq_stack()`, but restore and mask around the branch. Mask DAIF even if CONFIG_SHADOW_CALL_STACK is not enabled for consistency of behaviour between all configurations. Introduce and use an assembly macro for saving and masking DAIF, as the existing one saves but only masks IF. Уязвимость компонента arm64/entry ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: qup: jump out of the loop in case of timeout Original logic only sets the return value but doesn't jump out of the loop if the bus is kept active by a client. This is not expected. A malicious or buggy i2c client can hang the kernel in this case and should be avoided. This is observed during a long time test with a PCA953x GPIO extender. Fix it by changing the logic to not only sets the return value, but also jumps out of the loop and return to the caller with -ETIMEDOUT. Уязвимость компонента drivers/i2c/busses/i2c-qup.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/amd: Avoid stack buffer overflow from kernel cmdline While the kernel command line is considered trusted in most environments, avoid writing 1 byte past the end of "acpiid" if the "str" argument is maximum length. Уязвимость компонента drivers/iommu/amd/init.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid out-of-boundary access in dnode page As Jiaming Zhang reported: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x1c1/0x2a0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x17e/0x800 mm/kasan/report.c:480 kasan_report+0x147/0x180 mm/kasan/report.c:593 data_blkaddr fs/f2fs/f2fs.h:3053 [inline] f2fs_data_blkaddr fs/f2fs/f2fs.h:3058 [inline] f2fs_get_dnode_of_data+0x1a09/0x1c40 fs/f2fs/node.c:855 f2fs_reserve_block+0x53/0x310 fs/f2fs/data.c:1195 prepare_write_begin fs/f2fs/data.c:3395 [inline] f2fs_write_begin+0xf39/0x2190 fs/f2fs/data.c:3594 generic_perform_write+0x2c7/0x910 mm/filemap.c:4112 f2fs_buffered_write_iter fs/f2fs/file.c:4988 [inline] f2fs_file_write_iter+0x1ec8/0x2410 fs/f2fs/file.c:5216 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x546/0xa90 fs/read_write.c:686 ksys_write+0x149/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf3/0x3d0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f The root cause is in the corrupted image, there is a dnode has the same node id w/ its inode, so during f2fs_get_dnode_of_data(), it tries to access block address in dnode at offset 934, however it parses the dnode as inode node, so that get_dnode_addr() returns 360, then it tries to access page address from 360 + 934 * 4 = 4096 w/ 4 bytes. To fix this issue, let's add sanity check for node id of all direct nodes during f2fs_get_dnode_of_data(). Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании с помощью искажённого файла изображения [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: reject duplicate device on updates A chain/flowtable update with duplicated devices in the same batch is possible. Unfortunately, netdev event path only removes the first device that is found, leaving unregistered the hook of the duplicated device. Check if a duplicated device exists in the transaction batch, bail out with EEXIST in such case. WARNING is hit when unregistering the hook: [49042.221275] WARNING: CPU: 4 PID: 8425 at net/netfilter/core.c:340 nf_hook_entry_head+0xaa/0x150 [49042.221375] CPU: 4 UID: 0 PID: 8425 Comm: nft Tainted: G S 6.16.0+ #170 PREEMPT(full) [...] [49042.221382] RIP: 0010:nf_hook_entry_head+0xaa/0x150 Уязвимость функции nf_tables_updchain компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: Fix OOB read due to missing payload bound check Currently, The event_seq_changed() handler processes a variable number of properties sent by the firmware. The number of properties is indicated by the firmware and used to iterate over the payload. However, the payload size is not being validated against the actual message length. This can lead to out-of-bounds memory access if the firmware provides a property count that exceeds the data available in the payload. Such a condition can result in kernel crashes or potential information leaks if memory beyond the buffer is accessed. Fix this by properly validating the remaining size of the payload before each property access and updating bounds accordingly as properties are parsed. This ensures that property parsing is safely bounded within the received message buffer and protects against malformed or malicious firmware behavior. Уязвимость компонента venus ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Fix 1-byte out-of-bounds read in uvc_parse_format() The buffer length check before calling uvc_parse_format() only ensured that the buffer has at least 3 bytes (buflen > 2), buf the function accesses buffer[3], requiring at least 4 bytes. This can lead to an out-of-bounds read if the buffer has exactly 3 bytes. Fix it by checking that the buffer has at least 4 bytes in uvc_parse_format(). Уязвимость компонента uvcvideo ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/ptdump: take the memory hotplug lock inside ptdump_walk_pgd() Memory hot remove unmaps and tears down various kernel page table regions as required. The ptdump code can race with concurrent modifications of the kernel page tables. When leaf entries are modified concurrently, the dump code may log stale or inconsistent information for a VA range, but this is otherwise not harmful. But when intermediate levels of kernel page table are freed, the dump code will continue to use memory that has been freed and potentially reallocated for another purpose. In such cases, the ptdump code may dereference bogus addresses, leading to a number of potential problems. To avoid the above mentioned race condition, platforms such as arm64, riscv and s390 take memory hotplug lock, while dumping kernel page table via the sysfs interface /sys/kernel/debug/kernel_page_tables. Similar race condition exists while checking for pages that might have been marked W+X via /sys/kernel/debug/kernel_page_tables/check_wx_pages which in turn calls ptdump_check_wx(). Instead of solving this race condition again, let's just move the memory hotplug lock inside generic ptdump_check_wx() which will benefit both the scenarios. Drop get_online_mems() and put_online_mems() combination from all existing platform ptdump code paths. Уязвимость компонента mm/ptdump ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hv_netvsc: Fix panic during namespace deletion with VF The existing code move the VF NIC to new namespace when NETDEV_REGISTER is received on netvsc NIC. During deletion of the namespace, default_device_exit_batch() >> default_device_exit_net() is called. When netvsc NIC is moved back and registered to the default namespace, it automatically brings VF NIC back to the default namespace. This will cause the default_device_exit_net() >> for_each_netdev_safe loop unable to detect the list end, and hit NULL ptr: [ 231.449420] mana 7870:00:00.0 enP30832s1: Moved VF to namespace with: eth0 [ 231.449656] BUG: kernel NULL pointer dereference, address: 0000000000000010 [ 231.450246] #PF: supervisor read access in kernel mode [ 231.450579] #PF: error_code(0x0000) - not-present page [ 231.450916] PGD 17b8a8067 P4D 0 [ 231.451163] Oops: Oops: 0000 [#1] SMP NOPTI [ 231.451450] CPU: 82 UID: 0 PID: 1394 Comm: kworker/u768:1 Not tainted 6.16.0-rc4+ #3 VOLUNTARY [ 231.452042] Hardware name: Microsoft Corporation Virtual Machine/Virtual Machine, BIOS Hyper-V UEFI Release v4.1 11/21/2024 [ 231.452692] Workqueue: netns cleanup_net [ 231.452947] RIP: 0010:default_device_exit_batch+0x16c/0x3f0 [ 231.453326] Code: c0 0c f5 b3 e8 d5 db fe ff 48 85 c0 74 15 48 c7 c2 f8 fd ca b2 be 10 00 00 00 48 8d 7d c0 e8 7b 77 25 00 49 8b 86 28 01 00 00 <48> 8b 50 10 4c 8b 2a 4c 8d 62 f0 49 83 ed 10 4c 39 e0 0f 84 d6 00 [ 231.454294] RSP: 0018:ff75fc7c9bf9fd00 EFLAGS: 00010246 [ 231.454610] RAX: 0000000000000000 RBX: 0000000000000002 RCX: 61c8864680b583eb [ 231.455094] RDX: ff1fa9f71462d800 RSI: ff75fc7c9bf9fd38 RDI: 0000000030766564 [ 231.455686] RBP: ff75fc7c9bf9fd78 R08: 0000000000000000 R09: 0000000000000000 [ 231.456126] R10: 0000000000000001 R11: 0000000000000004 R12: ff1fa9f70088e340 [ 231.456621] R13: ff1fa9f70088e340 R14: ffffffffb3f50c20 R15: ff1fa9f7103e6340 [ 231.457161] FS: 0000000000000000(0000) GS:ff1faa6783a08000(0000) knlGS:0000000000000000 [ 231.457707] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 231.458031] CR2: 0000000000000010 CR3: 0000000179ab2006 CR4: 0000000000b73ef0 [ 231.458434] Call Trace: [ 231.458600] <TASK> [ 231.458777] ops_undo_list+0x100/0x220 [ 231.459015] cleanup_net+0x1b8/0x300 [ 231.459285] process_one_work+0x184/0x340 To fix it, move the ns change to a workqueue, and take rtnl_lock to avoid changing the netdev list when default_device_exit_net() is using it. Уязвимость компонента hv_netvsc ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: ets: use old 'nbands' while purging unused classes Shuang reported sch_ets test-case [1] crashing in ets_class_qlen_notify() after recent changes from Lion [2]. The problem is: in ets_qdisc_change() we purge unused DWRR queues; the value of 'q->nbands' is the new one, and the cleanup should be done with the old one. The problem is here since my first attempts to fix ets_qdisc_change(), but it surfaced again after the recent qdisc len accounting fixes. Fix it purging idle DWRR queues before assigning a new value of 'q->nbands', so that all purge operations find a consistent configuration: - old 'q->nbands' because it's needed by ets_class_find() - old 'q->nstrict' because it's needed by ets_class_is_strict() BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 62 UID: 0 PID: 39457 Comm: tc Kdump: loaded Not tainted 6.12.0-116.el10.x86_64 #1 PREEMPT(voluntary) Hardware name: Dell Inc. PowerEdge R640/06DKY5, BIOS 2.12.2 07/09/2021 RIP: 0010:__list_del_entry_valid_or_report+0x4/0x80 Code: ff 4c 39 c7 0f 84 39 19 8e ff b8 01 00 00 00 c3 cc cc cc cc 66 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa <48> 8b 17 48 8b 4f 08 48 85 d2 0f 84 56 19 8e ff 48 85 c9 0f 84 ab RSP: 0018:ffffba186009f400 EFLAGS: 00010202 RAX: 00000000000000d6 RBX: 0000000000000000 RCX: 0000000000000004 RDX: ffff9f0fa29b69c0 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffffffc12c2400 R08: 0000000000000008 R09: 0000000000000004 R10: ffffffffffffffff R11: 0000000000000004 R12: 0000000000000000 R13: ffff9f0f8cfe0000 R14: 0000000000100005 R15: 0000000000000000 FS: 00007f2154f37480(0000) GS:ffff9f269c1c0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000001530be001 CR4: 00000000007726f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ets_class_qlen_notify+0x65/0x90 [sch_ets] qdisc_tree_reduce_backlog+0x74/0x110 ets_qdisc_change+0x630/0xa40 [sch_ets] __tc_modify_qdisc.constprop.0+0x216/0x7f0 tc_modify_qdisc+0x7c/0x120 rtnetlink_rcv_msg+0x145/0x3f0 netlink_rcv_skb+0x53/0x100 netlink_unicast+0x245/0x390 netlink_sendmsg+0x21b/0x470 ____sys_sendmsg+0x39d/0x3d0 ___sys_sendmsg+0x9a/0xe0 __sys_sendmsg+0x7a/0xd0 do_syscall_64+0x7d/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f2155114084 Code: 89 02 b8 ff ff ff ff eb bb 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 00 f3 0f 1e fa 80 3d 25 f0 0c 00 00 74 13 b8 2e 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 54 c3 0f 1f 00 48 83 ec 28 89 54 24 1c 48 89 RSP: 002b:00007fff1fd7a988 EFLAGS: 00000202 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 0000560ec063e5e0 RCX: 00007f2155114084 RDX: 0000000000000000 RSI: 00007fff1fd7a9f0 RDI: 0000000000000003 RBP: 00007fff1fd7aa60 R08: 0000000000000010 R09: 000000000000003f R10: 0000560ee9b3a010 R11: 0000000000000202 R12: 00007fff1fd7aae0 R13: 000000006891ccde R14: 0000560ec063e5e0 R15: 00007fff1fd7aad0 </TASK> [1] https://lore.kernel.org/netdev/e08c7f4a6882f260011909a868311c6e9b54f3e4.1639153474.git.dcaratti@redhat.com/ [2] https://lore.kernel.org/netdev/d912cbd7-193b-4269-9857-525bee8bbb6a@gmail.com/ Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: Fix vmalloc out-of-bounds write in fast_imageblit This issue triggers when a userspace program does an ioctl FBIOPUT_CON2FBMAP by passing console number and frame buffer number. Ideally this maps console to frame buffer and updates the screen if console is visible. As part of mapping it has to do resize of console according to frame buffer info. if this resize fails and returns from vc_do_resize() and continues further. At this point console and new frame buffer are mapped and sets display vars. Despite failure still it continue to proceed updating the screen at later stages where vc_data is related to previous frame buffer and frame buffer info and display vars are mapped to new frame buffer and eventully leading to out-of-bounds write in fast_imageblit(). This bheviour is excepted only when fg_console is equal to requested console which is a visible console and updates screen with invalid struct references in fbcon_putcs(). Уязвимость компонента fbdev ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: fix race between polling and detaching syzbot reports a use-after-free in comedi in the below link, which is due to comedi gladly removing the allocated async area even though poll requests are still active on the wait_queue_head inside of it. This can cause a use-after-free when the poll entries are later triggered or removed, as the memory for the wait_queue_head has been freed. We need to check there are no tasks queued on any of the subdevices' wait queues before allowing the device to be detached by the `COMEDI_DEVCONFIG` ioctl. Tasks will read-lock `dev->attach_lock` before adding themselves to the subdevice wait queue, so fix the problem in the `COMEDI_DEVCONFIG` ioctl handler by write-locking `dev->attach_lock` before checking that all of the subdevices are safe to be deleted. This includes testing for any sleepers on the subdevices' wait queues. It remains locked until the device has been detached. This requires the `comedi_device_detach()` function to be refactored slightly, moving the bulk of it into new function `comedi_device_detach_locked()`. Note that the refactor of `comedi_device_detach()` results in `comedi_device_cancel_all()` now being called while `dev->attach_lock` is write-locked, which wasn't the case previously, but that does not matter. Thanks to Jens Axboe for diagnosing the problem and co-developing this patch. Уязвимость компонента comedi/comedi_fops.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pNFS: Fix uninited ptr deref in block/scsi layout The error occurs on the third attempt to encode extents. When function ext_tree_prepare_commit() reallocates a larger buffer to retry encoding extents, the "layoutupdate_pages" page array is initialized only after the retry loop. But ext_tree_free_commitdata() is called on every iteration and tries to put pages in the array, thus dereferencing uninitialized pointers. An additional problem is that there is no limit on the maximum possible buffer_size. When there are too many extents, the client may create a layoutcommit that is larger than the maximum possible RPC size accepted by the server. During testing, we observed two typical scenarios. First, one memory page for extents is enough when we work with small files, append data to the end of the file, or preallocate extents before writing. But when we fill a new large file without preallocating, the number of extents can be huge, and counting the number of written extents in ext_tree_encode_commit() does not help much. Since this number increases even more between unlocking and locking of ext_tree, the reallocated buffer may not be large enough again and again. Уязвимость компонента blocklayout/extent_tree.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: dvb-frontends: w7090p: fix null-ptr-deref in w7090p_tuner_write_serpar and w7090p_tuner_read_serpar In w7090p_tuner_write_serpar, msg is controlled by user. When msg[0].buf is null and msg[0].len is zero, former checks on msg[0].buf would be passed. If accessing msg[0].buf[2] without sanity check, null pointer deref would happen. We add check on msg[0].len to prevent crash. Similar commit: commit 0ed554fd769a ("media: dvb-usb: az6027: fix null-ptr-deref in az6027_i2c_xfer()") Уязвимость компонента media ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: dvb-frontends: dib7090p: fix null-ptr-deref in dib7090p_rw_on_apb() In dib7090p_rw_on_apb, msg is controlled by user. When msg[0].buf is null and msg[0].len is zero, former checks on msg[0].buf would be passed. If accessing msg[0].buf[2] without sanity check, null pointer deref would happen. We add check on msg[0].len to prevent crash. Similar issue occurs when access msg[1].buf[0] and msg[1].buf[1]. Similar commit: commit 0ed554fd769a ("media: dvb-usb: az6027: fix null-ptr-deref in az6027_i2c_xfer()") Уязвимость компонента media/dvb-frontends/dib7000p.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Check for hdwq null ptr when cleaning up lpfc_vport structure If a call to lpfc_sli4_read_rev() from lpfc_sli4_hba_setup() fails, the resultant cleanup routine lpfc_sli4_vport_delete_fcp_xri_aborted() may occur before sli4_hba.hdwqs are allocated. This may result in a null pointer dereference when attempting to take the abts_io_buf_list_lock for the first hardware queue. Fix by adding a null ptr check on phba->sli4_hba.hdwq and early return because this situation means there must have been an error during port initialization. Уязвимость компонента lpfc/lpfc_scsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: MIPS: Don't crash in stack_top() for tasks without ABI or vDSO Not all tasks have an ABI associated or vDSO mapped, for example kthreads never do. If such a task ever ends up calling stack_top(), it will derefence the NULL ABI pointer and crash. This can for example happen when using kunit: mips_stack_top+0x28/0xc0 arch_pick_mmap_layout+0x190/0x220 kunit_vm_mmap_init+0xf8/0x138 __kunit_add_resource+0x40/0xa8 kunit_vm_mmap+0x88/0xd8 usercopy_test_init+0xb8/0x240 kunit_try_run_case+0x5c/0x1a8 kunit_generic_run_threadfn_adapter+0x28/0x50 kthread+0x118/0x240 ret_from_kernel_thread+0x14/0x1c Only dereference the ABI point if it is set. The GIC page is also included as it is specific to the vDSO. Also move the randomization adjustment into the same conditional. Уязвимость компонента mips/kernel/process.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: upper bound check of tree index in dbAllocAG When computing the tree index in dbAllocAG, we never check if we are out of bounds realative to the size of the stree. This could happen in a scenario where the filesystem metadata are corrupted. Уязвимость компонента jfs/jfs_dmap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Regular file corruption check The reproducer builds a corrupted file on disk with a negative i_size value. Add a check when opening this file to avoid subsequent operation failures. Уязвимость компонента jfs/file.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля jfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль jfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep jfs ``` или ``` kmod list | grep jfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod jfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install jfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: bfa: Double-free fix When the bfad_im_probe() function fails during initialization, the memory pointed to by bfad->im is freed without setting bfad->im to NULL. Subsequently, during driver uninstallation, when the state machine enters the bfad_sm_stopping state and calls the bfad_im_probe_undo() function, it attempts to free the memory pointed to by bfad->im again, thereby triggering a double-free vulnerability. Set bfad->im to NULL if probing fails. Уязвимость компонента scsi/bfa/bfad_im.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: libiscsi: Initialize iscsi_conn->dd_data only if memory is allocated In case of an ib_fast_reg_mr allocation failure during iSER setup, the machine hits a panic because iscsi_conn->dd_data is initialized unconditionally, even when no memory is allocated (dd_size == 0). This leads invalid pointer dereference during connection teardown. Fix by setting iscsi_conn->dd_data only if memory is actually allocated. Panic trace: ------------ iser: iser_create_fastreg_desc: Failed to allocate ib_fast_reg_mr err=-12 iser: iser_alloc_rx_descriptors: failed allocating rx descriptors / data buffers BUG: unable to handle page fault for address: fffffffffffffff8 RIP: 0010:swake_up_locked.part.5+0xa/0x40 Call Trace: complete+0x31/0x40 iscsi_iser_conn_stop+0x88/0xb0 [ib_iser] iscsi_stop_conn+0x66/0xc0 [scsi_transport_iscsi] iscsi_if_stop_conn+0x14a/0x150 [scsi_transport_iscsi] iscsi_if_rx+0x1135/0x1834 [scsi_transport_iscsi] ? netlink_lookup+0x12f/0x1b0 ? netlink_deliver_tap+0x2c/0x200 netlink_unicast+0x1ab/0x280 netlink_sendmsg+0x257/0x4f0 ? _copy_from_user+0x29/0x60 sock_sendmsg+0x5f/0x70 Уязвимость компонента scsi/libiscsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: do not BUG when INLINE_DATA_FL lacks system.data xattr A syzbot fuzzed image triggered a BUG_ON in ext4_update_inline_data() when an inode had the INLINE_DATA_FL flag set but was missing the system.data extended attribute. Since this can happen due to a maiciouly fuzzed file system, we shouldn't BUG, but rather, report it as a corrupted file system. Add similar replacements of BUG_ON with EXT4_ERROR_INODE() ii ext4_create_inline_data() and ext4_inline_data_truncate(). Уязвимость компонента fs/ext4/inline.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: fix potential buffer overflow in do_register_framebuffer() The current implementation may lead to buffer overflow when: 1. Unregistration creates NULL gaps in registered_fb[] 2. All array slots become occupied despite num_registered_fb < FB_MAX 3. The registration loop exceeds array bounds Add boundary check to prevent registered_fb[FB_MAX] access. Уязвимость функции do_register_framebuffer() компонента fbdev/core/fbmem.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю нарушить оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: core: Check for rtd == NULL in snd_soc_remove_pcm_runtime() snd_soc_remove_pcm_runtime() might be called with rtd == NULL which will leads to null pointer dereference. This was reproduced with topology loading and marking a link as ignore due to missing hardware component on the system. On module removal the soc_tplg_remove_link() would call snd_soc_remove_pcm_runtime() with rtd == NULL since the link was ignored, no runtime was created. Уязвимость компонента sound/soc/soc-core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Add sanity check for file name The length of the file name should be smaller than the directory entry size. Уязвимость компонента fs/ntfs3/dir.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drbd: add missing kref_get in handle_write_conflicts With `two-primaries` enabled, DRBD tries to detect "concurrent" writes and handle write conflicts, so that even if you write to the same sector simultaneously on both nodes, they end up with the identical data once the writes are completed. In handling "superseeded" writes, we forgot a kref_get, resulting in a premature drbd_destroy_device and use after free, and further to kernel crashes with symptoms. Relevance: No one should use DRBD as a random data generator, and apparently all users of "two-primaries" handle concurrent writes correctly on layer up. That is cluster file systems use some distributed lock manager, and live migration in virtualization environments stops writes on one node before starting writes on the other node. Which means that other than for "test cases", this code path is never taken in real life. FYI, in DRBD 9, things are handled differently nowadays. We still detect "write conflicts", but no longer try to be smart about them. We decided to disconnect hard instead: upper layers must not submit concurrent writes. If they do, that's their fault. Уязвимость драйвера drbd/drbd_receiver.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: avoid deadlock when linking with ReplaceIfExists If smb2_create_link() is called with ReplaceIfExists set and the name does exist then a deadlock will happen. ksmbd_vfs_kern_path_locked() will return with success and the parent directory will be locked. ksmbd_vfs_remove_file() will then remove the file. ksmbd_vfs_link() will then be called while the parent is still locked. It will try to lock the same parent and will deadlock. This patch moves the ksmbd_vfs_kern_path_unlock() call to *before* ksmbd_vfs_link() and then simplifies the code, removing the file_present flag variable. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана c взаимной блокировкой потоков выполнения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: don't use BUG_ON() in hfsplus_create_attributes_file() When the volume header contains erroneous values that do not reflect the actual state of the filesystem, hfsplus_fill_super() assumes that the attributes file is not yet created, which later results in hitting BUG_ON() when hfsplus_create_attributes_file() is called. Replace this BUG_ON() with -EIO error with a message to suggest running fsck tool. Уязвимость компонента fs/hfsplus/xattr.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds read in hfsplus_uni2asc() The hfsplus_readdir() method is capable to crash by calling hfsplus_uni2asc(): [ 667.121659][ T9805] ================================================================== [ 667.122651][ T9805] BUG: KASAN: slab-out-of-bounds in hfsplus_uni2asc+0x902/0xa10 [ 667.123627][ T9805] Read of size 2 at addr ffff88802592f40c by task repro/9805 [ 667.124578][ T9805] [ 667.124876][ T9805] CPU: 3 UID: 0 PID: 9805 Comm: repro Not tainted 6.16.0-rc3 #1 PREEMPT(full) [ 667.124886][ T9805] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 667.124890][ T9805] Call Trace: [ 667.124893][ T9805] <TASK> [ 667.124896][ T9805] dump_stack_lvl+0x10e/0x1f0 [ 667.124911][ T9805] print_report+0xd0/0x660 [ 667.124920][ T9805] ? __virt_addr_valid+0x81/0x610 [ 667.124928][ T9805] ? __phys_addr+0xe8/0x180 [ 667.124934][ T9805] ? hfsplus_uni2asc+0x902/0xa10 [ 667.124942][ T9805] kasan_report+0xc6/0x100 [ 667.124950][ T9805] ? hfsplus_uni2asc+0x902/0xa10 [ 667.124959][ T9805] hfsplus_uni2asc+0x902/0xa10 [ 667.124966][ T9805] ? hfsplus_bnode_read+0x14b/0x360 [ 667.124974][ T9805] hfsplus_readdir+0x845/0xfc0 [ 667.124984][ T9805] ? __pfx_hfsplus_readdir+0x10/0x10 [ 667.124994][ T9805] ? stack_trace_save+0x8e/0xc0 [ 667.125008][ T9805] ? iterate_dir+0x18b/0xb20 [ 667.125015][ T9805] ? trace_lock_acquire+0x85/0xd0 [ 667.125022][ T9805] ? lock_acquire+0x30/0x80 [ 667.125029][ T9805] ? iterate_dir+0x18b/0xb20 [ 667.125037][ T9805] ? down_read_killable+0x1ed/0x4c0 [ 667.125044][ T9805] ? putname+0x154/0x1a0 [ 667.125051][ T9805] ? __pfx_down_read_killable+0x10/0x10 [ 667.125058][ T9805] ? apparmor_file_permission+0x239/0x3e0 [ 667.125069][ T9805] iterate_dir+0x296/0xb20 [ 667.125076][ T9805] __x64_sys_getdents64+0x13c/0x2c0 [ 667.125084][ T9805] ? __pfx___x64_sys_getdents64+0x10/0x10 [ 667.125091][ T9805] ? __x64_sys_openat+0x141/0x200 [ 667.125126][ T9805] ? __pfx_filldir64+0x10/0x10 [ 667.125134][ T9805] ? do_user_addr_fault+0x7fe/0x12f0 [ 667.125143][ T9805] do_syscall_64+0xc9/0x480 [ 667.125151][ T9805] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 667.125158][ T9805] RIP: 0033:0x7fa8753b2fc9 [ 667.125164][ T9805] Code: 00 c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 48 [ 667.125172][ T9805] RSP: 002b:00007ffe96f8e0f8 EFLAGS: 00000217 ORIG_RAX: 00000000000000d9 [ 667.125181][ T9805] RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007fa8753b2fc9 [ 667.125185][ T9805] RDX: 0000000000000400 RSI: 00002000000063c0 RDI: 0000000000000004 [ 667.125190][ T9805] RBP: 00007ffe96f8e110 R08: 00007ffe96f8e110 R09: 00007ffe96f8e110 [ 667.125195][ T9805] R10: 0000000000000000 R11: 0000000000000217 R12: 0000556b1e3b4260 [ 667.125199][ T9805] R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 [ 667.125207][ T9805] </TASK> [ 667.125210][ T9805] [ 667.145632][ T9805] Allocated by task 9805: [ 667.145991][ T9805] kasan_save_stack+0x20/0x40 [ 667.146352][ T9805] kasan_save_track+0x14/0x30 [ 667.146717][ T9805] __kasan_kmalloc+0xaa/0xb0 [ 667.147065][ T9805] __kmalloc_noprof+0x205/0x550 [ 667.147448][ T9805] hfsplus_find_init+0x95/0x1f0 [ 667.147813][ T9805] hfsplus_readdir+0x220/0xfc0 [ 667.148174][ T9805] iterate_dir+0x296/0xb20 [ 667.148549][ T9805] __x64_sys_getdents64+0x13c/0x2c0 [ 667.148937][ T9805] do_syscall_64+0xc9/0x480 [ 667.149291][ T9805] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 667.149809][ T9805] [ 667.150030][ T9805] The buggy address belongs to the object at ffff88802592f000 [ 667.150030][ T9805] which belongs to the cache kmalloc-2k of size 2048 [ 667.151282][ T9805] The buggy address is located 0 bytes to the right of [ 667.151282][ T9805] allocated 1036-byte region [ffff88802592f000, ffff88802592f40c) [ 667.1 ---truncated--- Уязвимость компонента fs/hfsplus/unicode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds in hfsplus_bnode_read() The hfsplus_bnode_read() method can trigger the issue: [ 174.852007][ T9784] ================================================================== [ 174.852709][ T9784] BUG: KASAN: slab-out-of-bounds in hfsplus_bnode_read+0x2f4/0x360 [ 174.853412][ T9784] Read of size 8 at addr ffff88810b5fc6c0 by task repro/9784 [ 174.854059][ T9784] [ 174.854272][ T9784] CPU: 1 UID: 0 PID: 9784 Comm: repro Not tainted 6.16.0-rc3 #7 PREEMPT(full) [ 174.854281][ T9784] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 174.854286][ T9784] Call Trace: [ 174.854289][ T9784] <TASK> [ 174.854292][ T9784] dump_stack_lvl+0x10e/0x1f0 [ 174.854305][ T9784] print_report+0xd0/0x660 [ 174.854315][ T9784] ? __virt_addr_valid+0x81/0x610 [ 174.854323][ T9784] ? __phys_addr+0xe8/0x180 [ 174.854330][ T9784] ? hfsplus_bnode_read+0x2f4/0x360 [ 174.854337][ T9784] kasan_report+0xc6/0x100 [ 174.854346][ T9784] ? hfsplus_bnode_read+0x2f4/0x360 [ 174.854354][ T9784] hfsplus_bnode_read+0x2f4/0x360 [ 174.854362][ T9784] hfsplus_bnode_dump+0x2ec/0x380 [ 174.854370][ T9784] ? __pfx_hfsplus_bnode_dump+0x10/0x10 [ 174.854377][ T9784] ? hfsplus_bnode_write_u16+0x83/0xb0 [ 174.854385][ T9784] ? srcu_gp_start+0xd0/0x310 [ 174.854393][ T9784] ? __mark_inode_dirty+0x29e/0xe40 [ 174.854402][ T9784] hfsplus_brec_remove+0x3d2/0x4e0 [ 174.854411][ T9784] __hfsplus_delete_attr+0x290/0x3a0 [ 174.854419][ T9784] ? __pfx_hfs_find_1st_rec_by_cnid+0x10/0x10 [ 174.854427][ T9784] ? __pfx___hfsplus_delete_attr+0x10/0x10 [ 174.854436][ T9784] ? __asan_memset+0x23/0x50 [ 174.854450][ T9784] hfsplus_delete_all_attrs+0x262/0x320 [ 174.854459][ T9784] ? __pfx_hfsplus_delete_all_attrs+0x10/0x10 [ 174.854469][ T9784] ? rcu_is_watching+0x12/0xc0 [ 174.854476][ T9784] ? __mark_inode_dirty+0x29e/0xe40 [ 174.854483][ T9784] hfsplus_delete_cat+0x845/0xde0 [ 174.854493][ T9784] ? __pfx_hfsplus_delete_cat+0x10/0x10 [ 174.854507][ T9784] hfsplus_unlink+0x1ca/0x7c0 [ 174.854516][ T9784] ? __pfx_hfsplus_unlink+0x10/0x10 [ 174.854525][ T9784] ? down_write+0x148/0x200 [ 174.854532][ T9784] ? __pfx_down_write+0x10/0x10 [ 174.854540][ T9784] vfs_unlink+0x2fe/0x9b0 [ 174.854549][ T9784] do_unlinkat+0x490/0x670 [ 174.854557][ T9784] ? __pfx_do_unlinkat+0x10/0x10 [ 174.854565][ T9784] ? __might_fault+0xbc/0x130 [ 174.854576][ T9784] ? getname_flags.part.0+0x1c5/0x550 [ 174.854584][ T9784] __x64_sys_unlink+0xc5/0x110 [ 174.854592][ T9784] do_syscall_64+0xc9/0x480 [ 174.854600][ T9784] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 174.854608][ T9784] RIP: 0033:0x7f6fdf4c3167 [ 174.854614][ T9784] Code: f0 ff ff 73 01 c3 48 8b 0d 26 0d 0e 00 f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 08 [ 174.854622][ T9784] RSP: 002b:00007ffcb948bca8 EFLAGS: 00000206 ORIG_RAX: 0000000000000057 [ 174.854630][ T9784] RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f6fdf4c3167 [ 174.854636][ T9784] RDX: 00007ffcb948bcc0 RSI: 00007ffcb948bcc0 RDI: 00007ffcb948bd50 [ 174.854641][ T9784] RBP: 00007ffcb948cd90 R08: 0000000000000001 R09: 00007ffcb948bb40 [ 174.854645][ T9784] R10: 00007f6fdf564fc0 R11: 0000000000000206 R12: 0000561e1bc9c2d0 [ 174.854650][ T9784] R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 [ 174.854658][ T9784] </TASK> [ 174.854661][ T9784] [ 174.879281][ T9784] Allocated by task 9784: [ 174.879664][ T9784] kasan_save_stack+0x20/0x40 [ 174.880082][ T9784] kasan_save_track+0x14/0x30 [ 174.880500][ T9784] __kasan_kmalloc+0xaa/0xb0 [ 174.880908][ T9784] __kmalloc_noprof+0x205/0x550 [ 174.881337][ T9784] __hfs_bnode_create+0x107/0x890 [ 174.881779][ T9784] hfsplus_bnode_find+0x2d0/0xd10 [ 174.882222][ T9784] hfsplus_brec_find+0x2b0/0x520 [ 174.882659][ T9784] hfsplus_delete_all_attrs+0x23b/0x3 ---truncated--- Уязвимость компонента fs/hfsplus/bnode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfs: fix slab-out-of-bounds in hfs_bnode_read() This patch introduces is_bnode_offset_valid() method that checks the requested offset value. Also, it introduces check_and_correct_requested_length() method that checks and correct the requested length (if it is necessary). These methods are used in hfs_bnode_read(), hfs_bnode_write(), hfs_bnode_clear(), hfs_bnode_copy(), and hfs_bnode_move() with the goal to prevent the access out of allocated memory and triggering the crash. Уязвимость компонента fs/hfs/bnode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ctnetlink: fix refcount leak on table dump There is a reference count leak in ctnetlink_dump_table(): if (res < 0) { nf_conntrack_get(&ct->ct_general); // HERE cb->args[1] = (unsigned long)ct; ... While its very unlikely, its possible that ct == last. If this happens, then the refcount of ct was already incremented. This 2nd increment is never undone. This prevents the conntrack object from being released, which in turn keeps prevents cnet->count from dropping back to 0. This will then block the netns dismantle (or conntrack rmmod) as nf_conntrack_cleanup_net_list() will wait forever. This can be reproduced by running conntrack_resize.sh selftest in a loop. It takes ~20 minutes for me on a preemptible kernel on average before I see a runaway kworker spinning in nf_conntrack_cleanup_net_list. One fix would to change this to: if (res < 0) { if (ct != last) nf_conntrack_get(&ct->ct_general); But this reference counting isn't needed in the first place. We can just store a cookie value instead. A followup patch will do the same for ctnetlink_exp_dump_table, it looks to me as if this has the same problem and like ctnetlink_dump_table, we only need a 'skip hint', not the actual object so we can apply the same cookie strategy there as well. Уязвимость компонента nf_conntrack_netlink.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: LoongArch: BPF: Fix jump offset calculation in tailcall The extra pass of bpf_int_jit_compile() skips JIT context initialization which essentially skips offset calculation leaving out_offset = -1, so the jmp_offset in emit_bpf_tail_call is calculated by "#define jmp_offset (out_offset - (cur_offset))" is a negative number, which is wrong. The final generated assembly are as follow. 54: bgeu $a2, $t1, -8 # 0x0000004c 58: addi.d $a6, $s5, -1 5c: bltz $a6, -16 # 0x0000004c 60: alsl.d $t2, $a2, $a1, 0x3 64: ld.d $t2, $t2, 264 68: beq $t2, $zero, -28 # 0x0000004c Before apply this patch, the follow test case will reveal soft lock issues. cd tools/testing/selftests/bpf/ ./test_progs --allow=tailcalls/tailcall_bpf2bpf_1 dmesg: watchdog: BUG: soft lockup - CPU#2 stuck for 26s! [test_progs:25056] Уязвимость компонента bpf_jit.c ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: handle get_client_locked() failure in nfsd4_setclientid_confirm() Lei Lu recently reported that nfsd4_setclientid_confirm() did not check the return value from get_client_locked(). a SETCLIENTID_CONFIRM could race with a confirmed client expiring and fail to get a reference. That could later lead to a UAF. Fix this by getting a reference early in the case where there is an extant confirmed client. If that fails then treat it as if there were no confirmed client found at all. In the case where the unconfirmed client is expiring, just fail and return the result from get_client_locked(). Уязвимость компонента fs/nfsd/nfs4state.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix_devices: add phy_mask for ax88772 mdio bus Without setting phy_mask for ax88772 mdio bus, current driver may create at most 32 mdio phy devices with phy address range from 0x00 ~ 0x1f. DLink DUB-E100 H/W Ver B1 is such a device. However, only one main phy device will bind to net phy driver. This is creating issue during system suspend/resume since phy_polling_mode() in phy_state_machine() will directly deference member of phydev->drv for non-main phy devices. Then NULL pointer dereference issue will occur. Due to only external phy or internal phy is necessary, add phy_mask for ax88772 mdio bus to workarnoud the issue. Уязвимость драйвера net/usb/asix_devices.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netlink: avoid infinite retry looping in netlink_unicast() netlink_attachskb() checks for the socket's read memory allocation constraints. Firstly, it has: rmem < READ_ONCE(sk->sk_rcvbuf) to check if the just increased rmem value fits into the socket's receive buffer. If not, it proceeds and tries to wait for the memory under: rmem + skb->truesize > READ_ONCE(sk->sk_rcvbuf) The checks don't cover the case when skb->truesize + sk->sk_rmem_alloc is equal to sk->sk_rcvbuf. Thus the function neither successfully accepts these conditions, nor manages to reschedule the task - and is called in retry loop for indefinite time which is caught as: rcu: INFO: rcu_sched self-detected stall on CPU rcu: 0-....: (25999 ticks this GP) idle=ef2/1/0x4000000000000000 softirq=262269/262269 fqs=6212 (t=26000 jiffies g=230833 q=259957) NMI backtrace for cpu 0 CPU: 0 PID: 22 Comm: kauditd Not tainted 5.10.240 #68 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc42 04/01/2014 Call Trace: <IRQ> dump_stack lib/dump_stack.c:120 nmi_cpu_backtrace.cold lib/nmi_backtrace.c:105 nmi_trigger_cpumask_backtrace lib/nmi_backtrace.c:62 rcu_dump_cpu_stacks kernel/rcu/tree_stall.h:335 rcu_sched_clock_irq.cold kernel/rcu/tree.c:2590 update_process_times kernel/time/timer.c:1953 tick_sched_handle kernel/time/tick-sched.c:227 tick_sched_timer kernel/time/tick-sched.c:1399 __hrtimer_run_queues kernel/time/hrtimer.c:1652 hrtimer_interrupt kernel/time/hrtimer.c:1717 __sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1113 asm_call_irq_on_stack arch/x86/entry/entry_64.S:808 </IRQ> netlink_attachskb net/netlink/af_netlink.c:1234 netlink_unicast net/netlink/af_netlink.c:1349 kauditd_send_queue kernel/audit.c:776 kauditd_thread kernel/audit.c:897 kthread kernel/kthread.c:328 ret_from_fork arch/x86/entry/entry_64.S:304 Restore the original behavior of the check which commit in Fixes accidentally missed when restructuring the code. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента net/netlink/af_netlink.c ядра операционной системы Linux связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb3: fix for slab out of bounds on mount to ksmbd With KASAN enabled, it is possible to get a slab out of bounds during mount to ksmbd due to missing check in parse_server_interfaces() (see below): BUG: KASAN: slab-out-of-bounds in parse_server_interfaces+0x14ee/0x1880 [cifs] Read of size 4 at addr ffff8881433dba98 by task mount/9827 CPU: 5 UID: 0 PID: 9827 Comm: mount Tainted: G OE 6.16.0-rc2-kasan #2 PREEMPT(voluntary) Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: Dell Inc. Precision Tower 3620/0MWYPT, BIOS 2.13.1 06/14/2019 Call Trace: <TASK> dump_stack_lvl+0x9f/0xf0 print_report+0xd1/0x670 __virt_addr_valid+0x22c/0x430 ? parse_server_interfaces+0x14ee/0x1880 [cifs] ? kasan_complete_mode_report_info+0x2a/0x1f0 ? parse_server_interfaces+0x14ee/0x1880 [cifs] kasan_report+0xd6/0x110 parse_server_interfaces+0x14ee/0x1880 [cifs] __asan_report_load_n_noabort+0x13/0x20 parse_server_interfaces+0x14ee/0x1880 [cifs] ? __pfx_parse_server_interfaces+0x10/0x10 [cifs] ? trace_hardirqs_on+0x51/0x60 SMB3_request_interfaces+0x1ad/0x3f0 [cifs] ? __pfx_SMB3_request_interfaces+0x10/0x10 [cifs] ? SMB2_tcon+0x23c/0x15d0 [cifs] smb3_qfs_tcon+0x173/0x2b0 [cifs] ? __pfx_smb3_qfs_tcon+0x10/0x10 [cifs] ? cifs_get_tcon+0x105d/0x2120 [cifs] ? do_raw_spin_unlock+0x5d/0x200 ? cifs_get_tcon+0x105d/0x2120 [cifs] ? __pfx_smb3_qfs_tcon+0x10/0x10 [cifs] cifs_mount_get_tcon+0x369/0xb90 [cifs] ? dfs_cache_find+0xe7/0x150 [cifs] dfs_mount_share+0x985/0x2970 [cifs] ? check_path.constprop.0+0x28/0x50 ? save_trace+0x54/0x370 ? __pfx_dfs_mount_share+0x10/0x10 [cifs] ? __lock_acquire+0xb82/0x2ba0 ? __kasan_check_write+0x18/0x20 cifs_mount+0xbc/0x9e0 [cifs] ? __pfx_cifs_mount+0x10/0x10 [cifs] ? do_raw_spin_unlock+0x5d/0x200 ? cifs_setup_cifs_sb+0x29d/0x810 [cifs] cifs_smb3_do_mount+0x263/0x1990 [cifs] Уязвимость компонента fs/smb/client/smb2ops.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Validate UAC3 power domain descriptors, too UAC3 power domain descriptors need to be verified with its variable bLength for avoiding the unexpected OOB accesses by malicious firmware, too. Уязвимость компонента sound/usb/validate.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_reject: don't leak dst refcount for loopback packets recent patches to add a WARN() when replacing skb dst entry found an old bug: WARNING: include/linux/skbuff.h:1165 skb_dst_check_unset include/linux/skbuff.h:1164 [inline] WARNING: include/linux/skbuff.h:1165 skb_dst_set include/linux/skbuff.h:1210 [inline] WARNING: include/linux/skbuff.h:1165 nf_reject_fill_skb_dst+0x2a4/0x330 net/ipv4/netfilter/nf_reject_ipv4.c:234 [..] Call Trace: nf_send_unreach+0x17b/0x6e0 net/ipv4/netfilter/nf_reject_ipv4.c:325 nft_reject_inet_eval+0x4bc/0x690 net/netfilter/nft_reject_inet.c:27 expr_call_ops_eval net/netfilter/nf_tables_core.c:237 [inline] .. This is because blamed commit forgot about loopback packets. Such packets already have a dst_entry attached, even at PRE_ROUTING stage. Instead of checking hook just check if the skb already has a route attached to it. Уязвимость компонента netfilter ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gve: prevent ethtool ops after shutdown A crash can occur if an ethtool operation is invoked after shutdown() is called. shutdown() is invoked during system shutdown to stop DMA operations without performing expensive deallocations. It is discouraged to unregister the netdev in this path, so the device may still be visible to userspace and kernel helpers. In gve, shutdown() tears down most internal data structures. If an ethtool operation is dispatched after shutdown(), it will dereference freed or NULL pointers, leading to a kernel panic. While graceful shutdown normally quiesces userspace before invoking the reboot syscall, forced shutdowns (as observed on GCP VMs) can still trigger this path. Fix by calling netif_device_detach() in shutdown(). This marks the device as detached so the ethtool ioctl handler will skip dispatching operations to the driver. Уязвимость драйвера gve ядра операционной системы Linux связана с недостаточным контролем ресурса в период его существовования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppp: fix race conditions in ppp_fill_forward_path ppp_fill_forward_path() has two race conditions: 1. The ppp->channels list can change between list_empty() and list_first_entry(), as ppp_lock() is not held. If the only channel is deleted in ppp_disconnect_channel(), list_first_entry() may access an empty head or a freed entry, and trigger a panic. 2. pch->chan can be NULL. When ppp_unregister_channel() is called, pch->chan is set to NULL before pch is removed from ppp->channels. Fix these by using a lockless RCU approach: - Use list_first_or_null_rcu() to safely test and access the first list entry. - Convert list modifications on ppp->channels to their RCU variants and add synchronize_net() after removal. - Check for a NULL pch->chan before dereferencing it. Уязвимость драйвера ppp ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null pointer check in mod_hdcp_hdcp1_create_session() The function mod_hdcp_hdcp1_create_session() calls the function get_first_active_display(), but does not check its return value. The return value is a null pointer if the display list is empty. This will lead to a null pointer dereference. Add a null pointer check for get_first_active_display() and return MOD_HDCP_STATUS_DISPLAY_NOT_FOUND if the function return null. This is similar to the commit c3e9826a2202 ("drm/amd/display: Add null pointer check for get_first_active_display()"). (cherry picked from commit 5e43eb3cd731649c4f8b9134f857be62a416c893) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla4xxx: Prevent a potential error pointer dereference The qla4xxx_get_ep_fwdb() function is supposed to return NULL on error, but qla4xxx_ep_connect() returns error pointers. Propagating the error pointers will lead to an Oops in the caller, so change the error pointers to NULL. Уязвимость функции qla4xxx_get_ep_fwdb() драйвера qla4xxx ядра операционной системы Linux связана с недостаточной проверкой возвращения значения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/cpu/hygon: Add missing resctrl_cpu_detect() in bsp_init helper Since 923f3a2b48bd ("x86/resctrl: Query LLC monitoring properties once during boot") resctrl_cpu_detect() has been moved from common CPU initialization code to the vendor-specific BSP init helper, while Hygon didn't put that call in their code. This triggers a division by zero fault during early booting stage on our machines with X86_FEATURE_CQM* supported, where get_rdt_mon_resources() tries to calculate mon_l3_config with uninitialized boot_cpu_data.x86_cache_occ_scale. Add the missing resctrl_cpu_detect() in the Hygon BSP init helper. [ bp: Massage commit message. ] Уязвимость компонента x86/cpu/hygon ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: fix handling of zero-length records on the rx_list Each recvmsg() call must process either - only contiguous DATA records (any number of them) - one non-DATA record If the next record has different type than what has already been processed we break out of the main processing loop. If the record has already been decrypted (which may be the case for TLS 1.3 where we don't know type until decryption) we queue the pending record to the rx_list. Next recvmsg() will pick it up from there. Queuing the skb to rx_list after zero-copy decrypt is not possible, since in that case we decrypted directly to the user space buffer, and we don't have an skb to queue (darg.skb points to the ciphertext skb for access to metadata like length). Only data records are allowed zero-copy, and we break the processing loop after each non-data record. So we should never zero-copy and then find out that the record type has changed. The corner case we missed is when the initial record comes from rx_list, and it's zero length. Уязвимость функции recvmsg() ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tls ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Limit access to parser->buffer when trace_get_user failed When the length of the string written to set_ftrace_filter exceeds FTRACE_BUFF_MAX, the following KASAN alarm will be triggered: BUG: KASAN: slab-out-of-bounds in strsep+0x18c/0x1b0 Read of size 1 at addr ffff0000d00bd5ba by task ash/165 CPU: 1 UID: 0 PID: 165 Comm: ash Not tainted 6.16.0-g6bcdbd62bd56-dirty Hardware name: linux,dummy-virt (DT) Call trace: show_stack+0x34/0x50 (C) dump_stack_lvl+0xa0/0x158 print_address_description.constprop.0+0x88/0x398 print_report+0xb0/0x280 kasan_report+0xa4/0xf0 __asan_report_load1_noabort+0x20/0x30 strsep+0x18c/0x1b0 ftrace_process_regex.isra.0+0x100/0x2d8 ftrace_regex_release+0x484/0x618 __fput+0x364/0xa58 ____fput+0x28/0x40 task_work_run+0x154/0x278 do_notify_resume+0x1f0/0x220 el0_svc+0xec/0xf0 el0t_64_sync_handler+0xa0/0xe8 el0t_64_sync+0x1ac/0x1b0 The reason is that trace_get_user will fail when processing a string longer than FTRACE_BUFF_MAX, but not set the end of parser->buffer to 0. Then an OOB access will be triggered in ftrace_regex_release-> ftrace_process_regex->strsep->strpbrk. We can solve this problem by limiting access to parser->buffer when trace_get_user failed. Уязвимость компонента trace ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: Fix use of uninitialized memory in do_insn_ioctl() and do_insnlist_ioctl() syzbot reports a KMSAN kernel-infoleak in `do_insn_ioctl()`. A kernel buffer is allocated to hold `insn->n` samples (each of which is an `unsigned int`). For some instruction types, `insn->n` samples are copied back to user-space, unless an error code is being returned. The problem is that not all the instruction handlers that need to return data to userspace fill in the whole `insn->n` samples, so that there is an information leak. There is a similar syzbot report for `do_insnlist_ioctl()`, although it does not have a reproducer for it at the time of writing. One culprit is `insn_rw_emulate_bits()` which is used as the handler for `INSN_READ` or `INSN_WRITE` instructions for subdevices that do not have a specific handler for that instruction, but do have an `INSN_BITS` handler. For `INSN_READ` it only fills in at most 1 sample, so if `insn->n` is greater than 1, the remaining `insn->n - 1` samples copied to userspace will be uninitialized kernel data. Another culprit is `vm80xx_ai_insn_read()` in the "vm80xx" driver. It never returns an error, even if it fails to fill the buffer. Fix it in `do_insn_ioctl()` and `do_insnlist_ioctl()` by making sure that uninitialized parts of the allocated buffer are zeroed before handling each instruction. Thanks to Arnaud Lecomte for their fix to `do_insn_ioctl()`. That fix replaced the call to `kmalloc_array()` with `kcalloc()`, but it is not always necessary to clear the whole buffer. Уязвимость драйвера comedi ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: pcl726: Prevent invalid irq number The reproducer passed in an irq number(0x80008000) that was too large, which triggered the oob. Added an interrupt number check to prevent users from passing in an irq number that was too large. If `it->options[1]` is 31, then `1 << it->options[1]` is still invalid because it shifts a 1-bit into the sign bit (which is UB in C). Possible solutions include reducing the upper bound on the `it->options[1]` value to 30 or lower, or using `1U << it->options[1]`. The old code would just not attempt to request the IRQ if the `options[1]` value were invalid. And it would still configure the device without interrupts even if the call to `request_irq` returned an error. So it would be better to combine this test with the test below. Уязвимость компонента comedi/drivers/pcl726.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: Make insn_rw_emulate_bits() do insn->n samples The `insn_rw_emulate_bits()` function is used as a default handler for `INSN_READ` instructions for subdevices that have a handler for `INSN_BITS` but not for `INSN_READ`. Similarly, it is used as a default handler for `INSN_WRITE` instructions for subdevices that have a handler for `INSN_BITS` but not for `INSN_WRITE`. It works by emulating the `INSN_READ` or `INSN_WRITE` instruction handling with a constructed `INSN_BITS` instruction. However, `INSN_READ` and `INSN_WRITE` instructions are supposed to be able read or write multiple samples, indicated by the `insn->n` value, but `insn_rw_emulate_bits()` currently only handles a single sample. For `INSN_READ`, the comedi core will copy `insn->n` samples back to user-space. (That triggered KASAN kernel-infoleak errors when `insn->n` was greater than 1, but that is being fixed more generally elsewhere in the comedi core.) Make `insn_rw_emulate_bits()` either handle `insn->n` samples, or return an error, to conform to the general expectation for `INSN_READ` and `INSN_WRITE` handlers. Уязвимость драйвера comedi ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: light: as73211: Ensure buffer holes are zeroed Given that the buffer is copied to a kfifo that ultimately user space can read, ensure we zero it. Уязвимость компонента iio/light/as73211.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Also allocate and copy hash for reading of filter files Currently the reader of set_ftrace_filter and set_ftrace_notrace just adds the pointer to the global tracer hash to its iterator. Unlike the writer that allocates a copy of the hash, the reader keeps the pointer to the filter hashes. This is problematic because this pointer is static across function calls that release the locks that can update the global tracer hashes. This can cause UAF and similar bugs. Allocate and copy the hash for reading the filter files like it is done for the writers. This not only fixes UAF bugs, but also makes the code a bit simpler as it doesn't have to differentiate when to free the iterator's hash between writers and readers. Уязвимость компонента kernel/trace/ftrace.c ядра операционной системы Linux связана с использованием ресурсов с аналогичным идентификатором. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/buffer: fix use-after-free when call bh_read() helper There's issue as follows: BUG: KASAN: stack-out-of-bounds in end_buffer_read_sync+0xe3/0x110 Read of size 8 at addr ffffc9000168f7f8 by task swapper/3/0 CPU: 3 UID: 0 PID: 0 Comm: swapper/3 Not tainted 6.16.0-862.14.0.6.x86_64 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_address_description.constprop.0+0x2c/0x390 print_report+0xb4/0x270 kasan_report+0xb8/0xf0 end_buffer_read_sync+0xe3/0x110 end_bio_bh_io_sync+0x56/0x80 blk_update_request+0x30a/0x720 scsi_end_request+0x51/0x2b0 scsi_io_completion+0xe3/0x480 ? scsi_device_unbusy+0x11e/0x160 blk_complete_reqs+0x7b/0x90 handle_softirqs+0xef/0x370 irq_exit_rcu+0xa5/0xd0 sysvec_apic_timer_interrupt+0x6e/0x90 </IRQ> Above issue happens when do ntfs3 filesystem mount, issue may happens as follows: mount IRQ ntfs_fill_super read_cache_page do_read_cache_folio filemap_read_folio mpage_read_folio do_mpage_readpage ntfs_get_block_vbo bh_read submit_bh wait_on_buffer(bh); blk_complete_reqs scsi_io_completion scsi_end_request blk_update_request end_bio_bh_io_sync end_buffer_read_sync __end_buffer_read_notouch unlock_buffer wait_on_buffer(bh);--> return will return to caller put_bh --> trigger stack-out-of-bounds In the mpage_read_folio() function, the stack variable 'map_bh' is passed to ntfs_get_block_vbo(). Once unlock_buffer() unlocks and wait_on_buffer() returns to continue processing, the stack variable is likely to be reclaimed. Consequently, during the end_buffer_read_sync() process, calling put_bh() may result in stack overrun. If the bh is not allocated on the stack, it belongs to a folio. Freeing a buffer head which belongs to a folio is done by drop_buffers() which will fail to free buffers which are still locked. So it is safe to call put_bh() before __end_buffer_read_notouch(). Уязвимость компонента fs/buffer.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: server: split ksmbd_rdma_stop_listening() out of ksmbd_rdma_destroy() We can't call destroy_workqueue(smb_direct_wq); before stop_sessions()! Otherwise already existing connections try to use smb_direct_wq as a NULL pointer. Уязвимость модуля smb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Avoid a NULL pointer dereference [WHY] Although unlikely drm_atomic_get_new_connector_state() or drm_atomic_get_old_connector_state() can return NULL. [HOW] Check returns before dereference. (cherry picked from commit 1e5e8d672fec9f2ab352be121be971877bff2af9) Уязвимость компонента amdgpu_dm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/sclp: Fix SCCB present check Tracing code called by the SCLP interrupt handler contains early exits if the SCCB address associated with an interrupt is NULL. This check is performed after physical to virtual address translation. If the kernel identity mapping does not start at address zero, the resulting virtual address is never zero, so that the NULL checks won't work. Subsequently this may result in incorrect accesses to the first page of the identity mapping. Fix this by introducing a function that handles the NULL case before address translation. Уязвимость компонента s390/char/sclp.c ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix a race when updating an existing write After nfs_lock_and_join_requests() tests for whether the request is still attached to the mapping, nothing prevents a call to nfs_inode_remove_request() from succeeding until we actually lock the page group. The reason is that whoever called nfs_inode_remove_request() doesn't necessarily have a lock on the page group head. So in order to avoid races, let's take the page group lock earlier in nfs_lock_and_join_requests(), and hold it across the removal of the request in nfs_inode_remove_request(). Уязвимость компонента NFS ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: pfr_update: Fix the driver update version check The security-version-number check should be used rather than the runtime version check for driver updates. Otherwise, the firmware update would fail when the update binary had a lower runtime version number than the current one. [ rjw: Changelog edits ] Уязвимость драйвера acpi/pfr_update.c ядра операционной системы Linux связана с сравнением с использованием неверных факторов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: Fix MAC comparison to be constant-time To prevent timing attacks, MACs need to be compared in constant time. Use the appropriate helper function for this. Уязвимость компонента net/ipv6/seg6_hmac.c ядра операционной системы Linux связана с утечкой информации на основании временных расхождений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net, hsr: reject HSR frame if skb can't hold tag Receiving HSR frame with insufficient space to hold HSR tag in the skb can result in a crash (kernel BUG): [ 45.390915] skbuff: skb_under_panic: text:ffffffff86f32cac len:26 put:14 head:ffff888042418000 data:ffff888042417ff4 tail:0xe end:0x180 dev:bridge_slave_1 [ 45.392559] ------------[ cut here ]------------ [ 45.392912] kernel BUG at net/core/skbuff.c:211! [ 45.393276] Oops: invalid opcode: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 45.393809] CPU: 1 UID: 0 PID: 2496 Comm: reproducer Not tainted 6.15.0 #12 PREEMPT(undef) [ 45.394433] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 45.395273] RIP: 0010:skb_panic+0x15b/0x1d0 <snip registers, remove unreliable trace> [ 45.402911] Call Trace: [ 45.403105] <IRQ> [ 45.404470] skb_push+0xcd/0xf0 [ 45.404726] br_dev_queue_push_xmit+0x7c/0x6c0 [ 45.406513] br_forward_finish+0x128/0x260 [ 45.408483] __br_forward+0x42d/0x590 [ 45.409464] maybe_deliver+0x2eb/0x420 [ 45.409763] br_flood+0x174/0x4a0 [ 45.410030] br_handle_frame_finish+0xc7c/0x1bc0 [ 45.411618] br_handle_frame+0xac3/0x1230 [ 45.413674] __netif_receive_skb_core.constprop.0+0x808/0x3df0 [ 45.422966] __netif_receive_skb_one_core+0xb4/0x1f0 [ 45.424478] __netif_receive_skb+0x22/0x170 [ 45.424806] process_backlog+0x242/0x6d0 [ 45.425116] __napi_poll+0xbb/0x630 [ 45.425394] net_rx_action+0x4d1/0xcc0 [ 45.427613] handle_softirqs+0x1a4/0x580 [ 45.427926] do_softirq+0x74/0x90 [ 45.428196] </IRQ> This issue was found by syzkaller. The panic happens in br_dev_queue_push_xmit() once it receives a corrupted skb with ETH header already pushed in linear data. When it attempts the skb_push() call, there's not enough headroom and skb_push() panics. The corrupted skb is put on the queue by HSR layer, which makes a sequence of unintended transformations when it receives a specific corrupted HSR frame (with incomplete TAG). Fix it by dropping and consuming frames that are not long enough to contain both ethernet and hsr headers. Alternative fix would be to check for enough headroom before skb_push() in br_dev_queue_push_xmit(). In the reproducer, this is injected via AF_PACKET, but I don't easily see why it couldn't be sent over the wire from adjacent network. Further Details: In the reproducer, the following network interface chain is set up: ┌────────────────┐ ┌────────────────┐ │ veth0_to_hsr ├───┤ hsr_slave0 ┼───┐ └────────────────┘ └────────────────┘ │ │ ┌──────┐ ├─┤ hsr0 ├───┐ │ └──────┘ │ ┌────────────────┐ ┌────────────────┐ │ │┌────────┐ │ veth1_to_hsr ┼───┤ hsr_slave1 ├───┘ └┤ │ └────────────────┘ └────────────────┘ ┌┼ bridge │ ││ │ │└────────┘ │ ┌───────┐ │ │ ... ├──────┘ └───────┘ To trigger the events leading up to crash, reproducer sends a corrupted HSR fr ---truncated--- Уязвимость компонента net/hsr/hsr_slave.c ядра операционной системы Linux связана с неправильной проверкой синтаксической корректности ввода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Destroy KFD debugfs after destroy KFD wq Since KFD proc content was moved to kernel debugfs, we can't destroy KFD debugfs before kfd_process_destroy_wq. Move kfd_process_destroy_wq prior to kfd_debugfs_fini to fix a kernel NULL pointer problem. It happens when /sys/kernel/debug/kfd was already destroyed in kfd_debugfs_fini but kfd_process_destroy_wq calls kfd_debugfs_remove_process. This line debugfs_remove_recursive(entry->proc_dentry); tries to remove /sys/kernel/debug/kfd/proc/<pid> while /sys/kernel/debug/kfd is already gone. It hangs the kernel by kernel NULL pointer. (cherry picked from commit 0333052d90683d88531558dcfdbf2525cc37c233) Уязвимость компонента drm/amdkfd ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: protect against spurious interrupts during probe Make sure the interrupt handler is initialized before the interrupt is registered. If the IRQ is registered before hfi_create(), it's possible that an interrupt fires before the handler setup is complete, leading to a NULL dereference. This error condition has been observed during system boot on Rb3Gen2. Уязвимость компонента qcom/venus/core.c ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: Add a check for packet size after reading from shared memory Add a check to ensure that the packet size does not exceed the number of available words after reading the packet header from shared memory. This ensures that the size provided by the firmware is safe to process and prevent potential out-of-bounds memory access. Уязвимость компонента qcom/venus/hfi_venus.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: rainshadow-cec: fix TOCTOU race condition in rain_interrupt() In the interrupt handler rain_interrupt(), the buffer full check on rain->buf_len is performed before acquiring rain->buf_lock. This creates a Time-of-Check to Time-of-Use (TOCTOU) race condition, as rain->buf_len is concurrently accessed and modified in the work handler rain_irq_work_handler() under the same lock. Multiple interrupt invocations can race, with each reading buf_len before it becomes full and then proceeding. This can lead to both interrupts attempting to write to the buffer, incrementing buf_len beyond its capacity (DATA_SIZE) and causing a buffer overflow. Fix this bug by moving the spin_lock() to before the buffer full check. This ensures that the check and the subsequent buffer modification are performed atomically, preventing the race condition. An corresponding spin_unlock() is added to the overflow path to correctly release the lock. This possible bug was found by an experimental static analysis tool developed by our team. Уязвимость драйвера rainshadow-cec ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: usbtv: Lock resolution while streaming When an program is streaming (ffplay) and another program (qv4l2) changes the TV standard from NTSC to PAL, the kernel crashes due to trying to copy to unmapped memory. Changing from NTSC to PAL increases the resolution in the usbtv struct, but the video plane buffer isn't adjusted, so it overflows. [hverkuil: call vb2_is_busy instead of vb2_is_streaming] Уязвимость компонента media/usb/usbtv/usbtv-video.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: parisc: Revise gateway LWS calls to probe user read access We use load and stbys,e instructions to trigger memory reference interruptions without writing to memory. Because of the way read access support is implemented, read access interruptions are only triggered at privilege levels 2 and 3. The kernel and gateway page execute at privilege level 0, so this code never triggers a read access interruption. Thus, it is currently possible for user code to execute a LWS compare and swap operation at an address that is read protected at privilege level 3 (PRIV_USER). Fix this by probing read access rights at privilege level 3 and branching to lws_fault if access isn't allowed. Уязвимость компонента arch/parisc/kernel/syscall.S ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: parisc: Revise __get_user() to probe user read access Because of the way read access support is implemented, read access interruptions are only triggered at privilege levels 2 and 3. The kernel executes at privilege level 0, so __get_user() never triggers a read access interruption (code 26). Thus, it is currently possible for user code to access a read protected address via a system call. Fix this by probing read access rights at privilege level 3 (PRIV_USER) and setting __gu_err to -EFAULT (-14) if access isn't allowed. Note the cmpiclr instruction does a 32-bit compare because COND macro doesn't work inside asm. Уязвимость компонента arch/parisc/include/asm/uaccess.h ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: Validate length in packet header before skb_put() When receiving a vsock packet in the guest, only the virtqueue buffer size is validated prior to virtio_vsock_skb_rx_put(). Unfortunately, virtio_vsock_skb_rx_put() uses the length from the packet header as the length argument to skb_put(), potentially resulting in SKB overflow if the host has gone wonky. Validate the length as advertised by the packet header before calling virtio_vsock_skb_rx_put(). Уязвимость компонента net/vmw_vsock/virtio_transport.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: imu: bno055: fix OOB access of hw_xlate array Fix a potential out-of-bounds array access of the hw_xlate array in bno055.c. In bno055_get_regmask(), hw_xlate was iterated over the length of the vals array instead of the length of the hw_xlate array. In the case of bno055_gyr_scale, the vals array is larger than the hw_xlate array, so this could result in an out-of-bounds access. In practice, this shouldn't happen though because a match should always be found which breaks out of the for loop before it iterates beyond the end of the hw_xlate array. By adding a new hw_xlate_len field to the bno055_sysfs_attr, we can be sure we are iterating over the correct length. Уязвимость компонента iio/imu/bno055/bno055.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: 8250: fix panic due to PSLVERR When the PSLVERR_RESP_EN parameter is set to 1, the device generates an error response if an attempt is made to read an empty RBR (Receive Buffer Register) while the FIFO is enabled. In serial8250_do_startup(), calling serial_port_out(port, UART_LCR, UART_LCR_WLEN8) triggers dw8250_check_lcr(), which invokes dw8250_force_idle() and serial8250_clear_and_reinit_fifos(). The latter function enables the FIFO via serial_out(p, UART_FCR, p->fcr). Execution proceeds to the serial_port_in(port, UART_RX). This satisfies the PSLVERR trigger condition. When another CPU (e.g., using printk()) is accessing the UART (UART is busy), the current CPU fails the check (value & ~UART_LCR_SPAR) == (lcr & ~UART_LCR_SPAR) in dw8250_check_lcr(), causing it to enter dw8250_force_idle(). Put serial_port_out(port, UART_LCR, UART_LCR_WLEN8) under the port->lock to fix this issue. Panic backtrace: [ 0.442336] Oops - unknown exception [#1] [ 0.442343] epc : dw8250_serial_in32+0x1e/0x4a [ 0.442351] ra : serial8250_do_startup+0x2c8/0x88e ... [ 0.442416] console_on_rootfs+0x26/0x70 Уязвимость компонента drivers/tty/serial/8250 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: samsung: Fix UBSAN panic in samsung_clk_init() With UBSAN_ARRAY_BOUNDS=y, I'm hitting the below panic due to dereferencing `ctx->clk_data.hws` before setting `ctx->clk_data.num = nr_clks`. Move that up to fix the crash. UBSAN: array index out of bounds: 00000000f2005512 [#1] PREEMPT SMP <snip> Call trace: samsung_clk_init+0x110/0x124 (P) samsung_clk_init+0x48/0x124 (L) samsung_cmu_register_one+0x3c/0xa0 exynos_arm64_register_cmu+0x54/0x64 __gs101_cmu_top_of_clk_init_declare+0x28/0x60 ... Уязвимость компонента clk ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix filehandle bounds checking in nfs_fh_to_dentry() The function needs to check the minimal filehandle length before it can access the embedded filehandle. Уязвимость функции nfs_fh_to_dentry() компонента fs/nfs/export.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: vm_unmap_ram() may be called from an invalid context When testing F2FS with xfstests using UFS backed virtual disks the kernel complains sometimes that f2fs_release_decomp_mem() calls vm_unmap_ram() from an invalid context. Example trace from f2fs/007 test: f2fs/007 5s ... [12:59:38][ 8.902525] run fstests f2fs/007 [ 11.468026] BUG: sleeping function called from invalid context at mm/vmalloc.c:2978 [ 11.471849] in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 68, name: irq/22-ufshcd [ 11.475357] preempt_count: 1, expected: 0 [ 11.476970] RCU nest depth: 0, expected: 0 [ 11.478531] CPU: 0 UID: 0 PID: 68 Comm: irq/22-ufshcd Tainted: G W 6.16.0-rc5-xfstests-ufs-g40f92e79b0aa #9 PREEMPT(none) [ 11.478535] Tainted: [W]=WARN [ 11.478536] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 11.478537] Call Trace: [ 11.478543] <TASK> [ 11.478545] dump_stack_lvl+0x4e/0x70 [ 11.478554] __might_resched.cold+0xaf/0xbe [ 11.478557] vm_unmap_ram+0x21/0xb0 [ 11.478560] f2fs_release_decomp_mem+0x59/0x80 [ 11.478563] f2fs_free_dic+0x18/0x1a0 [ 11.478565] f2fs_finish_read_bio+0xd7/0x290 [ 11.478570] blk_update_request+0xec/0x3b0 [ 11.478574] ? sbitmap_queue_clear+0x3b/0x60 [ 11.478576] scsi_end_request+0x27/0x1a0 [ 11.478582] scsi_io_completion+0x40/0x300 [ 11.478583] ufshcd_mcq_poll_cqe_lock+0xa3/0xe0 [ 11.478588] ufshcd_sl_intr+0x194/0x1f0 [ 11.478592] ufshcd_threaded_intr+0x68/0xb0 [ 11.478594] ? __pfx_irq_thread_fn+0x10/0x10 [ 11.478599] irq_thread_fn+0x20/0x60 [ 11.478602] ? __pfx_irq_thread_fn+0x10/0x10 [ 11.478603] irq_thread+0xb9/0x180 [ 11.478605] ? __pfx_irq_thread_dtor+0x10/0x10 [ 11.478607] ? __pfx_irq_thread+0x10/0x10 [ 11.478609] kthread+0x10a/0x230 [ 11.478614] ? __pfx_kthread+0x10/0x10 [ 11.478615] ret_from_fork+0x7e/0xd0 [ 11.478619] ? __pfx_kthread+0x10/0x10 [ 11.478621] ret_from_fork_asm+0x1a/0x30 [ 11.478623] </TASK> This patch modifies in_task() check inside f2fs_read_end_io() to also check if interrupts are disabled. This ensures that pages are unmapped asynchronously in an interrupt handler. Уязвимость компонента fs/f2fs ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "fs/ntfs3: Replace inode_trylock with inode_lock" This reverts commit 69505fe98f198ee813898cbcaf6770949636430b. Initially, conditional lock acquisition was removed to fix an xfstest bug that was observed during internal testing. The deadlock reported by syzbot is resolved by reintroducing conditional acquisition. The xfstest bug no longer occurs on kernel version 6.16-rc1 during internal testing. I assume that changes in other modules may have contributed to this. Уязвимость компонента fs/ntfs3/file.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix slab-out-of-bounds read in ea_get() During the "size_check" label in ea_get(), the code checks if the extended attribute list (xattr) size matches ea_size. If not, it logs "ea_get: invalid extended attribute" and calls print_hex_dump(). Here, EALIST_SIZE(ea_buf->xattr) returns 4110417968, which exceeds INT_MAX (2,147,483,647). Then ea_size is clamped: int size = clamp_t(int, ea_size, 0, EALIST_SIZE(ea_buf->xattr)); Although clamp_t aims to bound ea_size between 0 and 4110417968, the upper limit is treated as an int, causing an overflow above 2^31 - 1. This leads "size" to wrap around and become negative (-184549328). The "size" is then passed to print_hex_dump() (called "len" in print_hex_dump()), it is passed as type size_t (an unsigned type), this is then stored inside a variable called "int remaining", which is then assigned to "int linelen" which is then passed to hex_dump_to_buffer(). In print_hex_dump() the for loop, iterates through 0 to len-1, where len is 18446744073525002176, calling hex_dump_to_buffer() on each iteration: for (i = 0; i < len; i += rowsize) { linelen = min(remaining, rowsize); remaining -= rowsize; hex_dump_to_buffer(ptr + i, linelen, rowsize, groupsize, linebuf, sizeof(linebuf), ascii); ... } The expected stopping condition (i < len) is effectively broken since len is corrupted and very large. This eventually leads to the "ptr+i" being passed to hex_dump_to_buffer() to get closer to the end of the actual bounds of "ptr", eventually an out of bounds access is done in hex_dump_to_buffer() in the following for loop: for (j = 0; j < len; j++) { if (linebuflen < lx + 2) goto overflow2; ch = ptr[j]; ... } To fix this we should validate "EALIST_SIZE(ea_buf->xattr)" before it is utilised. Уязвимость функции ea_get() компонента fs/jfs/xattr.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/kmemleak: avoid deadlock by moving pr_warn() outside kmemleak_lock When netpoll is enabled, calling pr_warn_once() while holding kmemleak_lock in mem_pool_alloc() can cause a deadlock due to lock inversion with the netconsole subsystem. This occurs because pr_warn_once() may trigger netpoll, which eventually leads to __alloc_skb() and back into kmemleak code, attempting to reacquire kmemleak_lock. This is the path for the deadlock. mem_pool_alloc() -> raw_spin_lock_irqsave(&kmemleak_lock, flags); -> pr_warn_once() -> netconsole subsystem -> netpoll -> __alloc_skb -> __create_object -> raw_spin_lock_irqsave(&kmemleak_lock, flags); Fix this by setting a flag and issuing the pr_warn_once() after kmemleak_lock is released. Уязвимость функции mem_pool_alloc() компонента mm/kmemleak.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/kmemleak: avoid soft lockup in __kmemleak_do_cleanup() A soft lockup warning was observed on a relative small system x86-64 system with 16 GB of memory when running a debug kernel with kmemleak enabled. watchdog: BUG: soft lockup - CPU#8 stuck for 33s! [kworker/8:1:134] The test system was running a workload with hot unplug happening in parallel. Then kemleak decided to disable itself due to its inability to allocate more kmemleak objects. The debug kernel has its CONFIG_DEBUG_KMEMLEAK_MEM_POOL_SIZE set to 40,000. The soft lockup happened in kmemleak_do_cleanup() when the existing kmemleak objects were being removed and deleted one-by-one in a loop via a workqueue. In this particular case, there are at least 40,000 objects that need to be processed and given the slowness of a debug kernel and the fact that a raw_spinlock has to be acquired and released in __delete_object(), it could take a while to properly handle all these objects. As kmemleak has been disabled in this case, the object removal and deletion process can be further optimized as locking isn't really needed. However, it is probably not worth the effort to optimize for such an edge case that should rarely happen. So the simple solution is to call cond_resched() at periodic interval in the iteration loop to avoid soft lockup. Уязвимость функции __kmemleak_do_cleanup() компонента mm/kmemleak.c ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: do not allow relocation of partially dropped subvolumes [BUG] There is an internal report that balance triggered transaction abort, with the following call trace: item 85 key (594509824 169 0) itemoff 12599 itemsize 33 extent refs 1 gen 197740 flags 2 ref#0: tree block backref root 7 item 86 key (594558976 169 0) itemoff 12566 itemsize 33 extent refs 1 gen 197522 flags 2 ref#0: tree block backref root 7 ... BTRFS error (device loop0): extent item not found for insert, bytenr 594526208 num_bytes 16384 parent 449921024 root_objectid 934 owner 1 offset 0 BTRFS error (device loop0): failed to run delayed ref for logical 594526208 num_bytes 16384 type 182 action 1 ref_mod 1: -117 ------------[ cut here ]------------ BTRFS: Transaction aborted (error -117) WARNING: CPU: 1 PID: 6963 at ../fs/btrfs/extent-tree.c:2168 btrfs_run_delayed_refs+0xfa/0x110 [btrfs] And btrfs check doesn't report anything wrong related to the extent tree. [CAUSE] The cause is a little complex, firstly the extent tree indeed doesn't have the backref for 594526208. The extent tree only have the following two backrefs around that bytenr on-disk: item 65 key (594509824 METADATA_ITEM 0) itemoff 13880 itemsize 33 refs 1 gen 197740 flags TREE_BLOCK tree block skinny level 0 (176 0x7) tree block backref root CSUM_TREE item 66 key (594558976 METADATA_ITEM 0) itemoff 13847 itemsize 33 refs 1 gen 197522 flags TREE_BLOCK tree block skinny level 0 (176 0x7) tree block backref root CSUM_TREE But the such missing backref item is not an corruption on disk, as the offending delayed ref belongs to subvolume 934, and that subvolume is being dropped: item 0 key (934 ROOT_ITEM 198229) itemoff 15844 itemsize 439 generation 198229 root_dirid 256 bytenr 10741039104 byte_limit 0 bytes_used 345571328 last_snapshot 198229 flags 0x1000000000001(RDONLY) refs 0 drop_progress key (206324 EXTENT_DATA 2711650304) drop_level 2 level 2 generation_v2 198229 And that offending tree block 594526208 is inside the dropped range of that subvolume. That explains why there is no backref item for that bytenr and why btrfs check is not reporting anything wrong. But this also shows another problem, as btrfs will do all the orphan subvolume cleanup at a read-write mount. So half-dropped subvolume should not exist after an RW mount, and balance itself is also exclusive to subvolume cleanup, meaning we shouldn't hit a subvolume half-dropped during relocation. The root cause is, there is no orphan item for this subvolume. In fact there are 5 subvolumes from around 2021 that have the same problem. It looks like the original report has some older kernels running, and caused those zombie subvolumes. Thankfully upstream commit 8d488a8c7ba2 ("btrfs: fix subvolume/snapshot deletion not triggered on mount") has long fixed the bug. [ENHANCEMENT] For repairing such old fs, btrfs-progs will be enhanced. Considering how delayed the problem will show up (at run delayed ref time) and at that time we have to abort transaction already, it is too late. Instead here we reject any half-dropped subvolume for reloc tree at the earliest time, preventing confusion and extra time wasted on debugging similar bugs. Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA: hfi1: fix possible divide-by-zero in find_hw_thread_mask() The function divides number of online CPUs by num_core_siblings, and later checks the divider by zero. This implies a possibility to get and divide-by-zero runtime error. Fix it by moving the check prior to division. This also helps to save one indentation level. Уязвимость функции find_hw_thread_mask() компонента drivers/infiniband/hw/hfi1/affinity.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: truncate good inode pages when hard link is 0 The fileset value of the inode copy from the disk by the reproducer is AGGR_RESERVED_I. When executing evict, its hard link number is 0, so its inode pages are not truncated. This causes the bugon to be triggered when executing clear_inode() because nrpages is greater than 0. Уязвимость компонента fs/jfs ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля jfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль jfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep jfs ``` или ``` kmod list | grep jfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod jfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install jfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rcu: Protect ->defer_qs_iw_pending from data race On kernels built with CONFIG_IRQ_WORK=y, when rcu_read_unlock() is invoked within an interrupts-disabled region of code [1], it will invoke rcu_read_unlock_special(), which uses an irq-work handler to force the system to notice when the RCU read-side critical section actually ends. That end won't happen until interrupts are enabled at the soonest. In some kernels, such as those booted with rcutree.use_softirq=y, the irq-work handler is used unconditionally. The per-CPU rcu_data structure's ->defer_qs_iw_pending field is updated by the irq-work handler and is both read and updated by rcu_read_unlock_special(). This resulted in the following KCSAN splat: ------------------------------------------------------------------------ BUG: KCSAN: data-race in rcu_preempt_deferred_qs_handler / rcu_read_unlock_special read to 0xffff96b95f42d8d8 of 1 bytes by task 90 on cpu 8: rcu_read_unlock_special+0x175/0x260 __rcu_read_unlock+0x92/0xa0 rt_spin_unlock+0x9b/0xc0 __local_bh_enable+0x10d/0x170 __local_bh_enable_ip+0xfb/0x150 rcu_do_batch+0x595/0xc40 rcu_cpu_kthread+0x4e9/0x830 smpboot_thread_fn+0x24d/0x3b0 kthread+0x3bd/0x410 ret_from_fork+0x35/0x40 ret_from_fork_asm+0x1a/0x30 write to 0xffff96b95f42d8d8 of 1 bytes by task 88 on cpu 8: rcu_preempt_deferred_qs_handler+0x1e/0x30 irq_work_single+0xaf/0x160 run_irq_workd+0x91/0xc0 smpboot_thread_fn+0x24d/0x3b0 kthread+0x3bd/0x410 ret_from_fork+0x35/0x40 ret_from_fork_asm+0x1a/0x30 no locks held by irq_work/8/88. irq event stamp: 200272 hardirqs last enabled at (200272): [<ffffffffb0f56121>] finish_task_switch+0x131/0x320 hardirqs last disabled at (200271): [<ffffffffb25c7859>] __schedule+0x129/0xd70 softirqs last enabled at (0): [<ffffffffb0ee093f>] copy_process+0x4df/0x1cc0 softirqs last disabled at (0): [<0000000000000000>] 0x0 ------------------------------------------------------------------------ The problem is that irq-work handlers run with interrupts enabled, which means that rcu_preempt_deferred_qs_handler() could be interrupted, and that interrupt handler might contain an RCU read-side critical section, which might invoke rcu_read_unlock_special(). In the strict KCSAN mode of operation used by RCU, this constitutes a data race on the ->defer_qs_iw_pending field. This commit therefore disables interrupts across the portion of the rcu_preempt_deferred_qs_handler() that updates the ->defer_qs_iw_pending field. This suffices because this handler is not a fast path. Уязвимость функции rcu_preempt_deferred_qs_handler() компонента kernel/rcu/tree_plugin.h ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: Prevent file descriptor table allocations exceeding INT_MAX When sysctl_nr_open is set to a very high value (for example, 1073741816 as set by systemd), processes attempting to use file descriptors near the limit can trigger massive memory allocation attempts that exceed INT_MAX, resulting in a WARNING in mm/slub.c: WARNING: CPU: 0 PID: 44 at mm/slub.c:5027 __kvmalloc_node_noprof+0x21a/0x288 This happens because kvmalloc_array() and kvmalloc() check if the requested size exceeds INT_MAX and emit a warning when the allocation is not flagged with __GFP_NOWARN. Specifically, when nr_open is set to 1073741816 (0x3ffffff8) and a process calls dup2(oldfd, 1073741880), the kernel attempts to allocate: - File descriptor array: 1073741880 * 8 bytes = 8,589,935,040 bytes - Multiple bitmaps: ~400MB - Total allocation size: > 8GB (exceeding INT_MAX = 2,147,483,647) Reproducer: 1. Set /proc/sys/fs/nr_open to 1073741816: # echo 1073741816 > /proc/sys/fs/nr_open 2. Run a program that uses a high file descriptor: #include <unistd.h> #include <sys/resource.h> int main() { struct rlimit rlim = {1073741824, 1073741824}; setrlimit(RLIMIT_NOFILE, &rlim); dup2(2, 1073741880); // Triggers the warning return 0; } 3. Observe WARNING in dmesg at mm/slub.c:5027 systemd commit a8b627a introduced automatic bumping of fs.nr_open to the maximum possible value. The rationale was that systems with memory control groups (memcg) no longer need separate file descriptor limits since memory is properly accounted. However, this change overlooked that: 1. The kernel's allocation functions still enforce INT_MAX as a maximum size regardless of memcg accounting 2. Programs and tests that legitimately test file descriptor limits can inadvertently trigger massive allocations 3. The resulting allocations (>8GB) are impractical and will always fail systemd's algorithm starts with INT_MAX and keeps halving the value until the kernel accepts it. On most systems, this results in nr_open being set to 1073741816 (0x3ffffff8), which is just under 1GB of file descriptors. While processes rarely use file descriptors near this limit in normal operation, certain selftests (like tools/testing/selftests/core/unshare_test.c) and programs that test file descriptor limits can trigger this issue. Fix this by adding a check in alloc_fdtable() to ensure the requested allocation size does not exceed INT_MAX. This causes the operation to fail with -EMFILE instead of triggering a kernel warning and avoids the impractical >8GB memory allocation request. Уязвимость компонента fs ядра операционной системы Linux связана с истощением дескриптора файлов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Validate UAC3 cluster segment descriptors UAC3 class segment descriptors need to be verified whether their sizes match with the declared lengths and whether they fit with the allocated buffer sizes, too. Otherwise malicious firmware may lead to the unexpected OOB accesses. Уязвимость ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: qgroup: fix race between quota disable and quota rescan ioctl There's a race between a task disabling quotas and another running the rescan ioctl that can result in a use-after-free of qgroup records from the fs_info->qgroup_tree rbtree. This happens as follows: 1) Task A enters btrfs_ioctl_quota_rescan() -> btrfs_qgroup_rescan(); 2) Task B enters btrfs_quota_disable() and calls btrfs_qgroup_wait_for_completion(), which does nothing because at that point fs_info->qgroup_rescan_running is false (it wasn't set yet by task A); 3) Task B calls btrfs_free_qgroup_config() which starts freeing qgroups from fs_info->qgroup_tree without taking the lock fs_info->qgroup_lock; 4) Task A enters qgroup_rescan_zero_tracking() which starts iterating the fs_info->qgroup_tree tree while holding fs_info->qgroup_lock, but task B is freeing qgroup records from that tree without holding the lock, resulting in a use-after-free. Fix this by taking fs_info->qgroup_lock at btrfs_free_qgroup_config(). Also at btrfs_qgroup_rescan() don't start the rescan worker if quotas were already disabled. Уязвимость компонента fs/btrfs/qgroup.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: core: config: Prevent OOB read in SS endpoint companion parsing usb_parse_ss_endpoint_companion() checks descriptor type before length, enabling a potentially odd read outside of the buffer size. Fix this up by checking the size first before looking at any of the fields in the descriptor. Уязвимость функции usb_parse_ss_endpoint_companion() компонента drivers/usb/core/config.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: Make cake_enqueue return NET_XMIT_CN when past buffer_limit The following setup can trigger a WARNING in htb_activate due to the condition: !cl->leaf.q->q.qlen tc qdisc del dev lo root tc qdisc add dev lo root handle 1: htb default 1 tc class add dev lo parent 1: classid 1:1 \ htb rate 64bit tc qdisc add dev lo parent 1:1 handle f: \ cake memlimit 1b ping -I lo -f -c1 -s64 -W0.001 127.0.0.1 This is because the low memlimit leads to a low buffer_limit, which causes packet dropping. However, cake_enqueue still returns NET_XMIT_SUCCESS, causing htb_enqueue to call htb_activate with an empty child qdisc. We should return NET_XMIT_CN when packets are dropped from the same tin and flow. I do not believe return value of NET_XMIT_CN is necessary for packet drops in the case of ack filtering, as that is meant to optimize performance, not to signal congestion. Уязвимость компонента net/sched ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: gso: Forbid IPv6 TSO with extensions on devices with only IPV6_CSUM When performing Generic Segmentation Offload (GSO) on an IPv6 packet that contains extension headers, the kernel incorrectly requests checksum offload if the egress device only advertises NETIF_F_IPV6_CSUM feature, which has a strict contract: it supports checksum offload only for plain TCP or UDP over IPv6 and explicitly does not support packets with extension headers. The current GSO logic violates this contract by failing to disable the feature for packets with extension headers, such as those used in GREoIPv6 tunnels. This violation results in the device being asked to perform an operation it cannot support, leading to a `skb_warn_bad_offload` warning and a collapse of network throughput. While device TSO/USO is correctly bypassed in favor of software GSO for these packets, the GSO stack must be explicitly told not to request checksum offload. Mask NETIF_F_IPV6_CSUM, NETIF_F_TSO6 and NETIF_F_GSO_UDP_L4 in gso_features_check if the IPv6 header contains extension headers to compute checksum in software. The exception is a BIG TCP extension, which, as stated in commit 68e068cabd2c6c53 ("net: reenable NETIF_F_IPV6_CSUM offload for BIG TCP packets"): "The feature is only enabled on devices that support BIG TCP TSO. The header is only present for PF_PACKET taps like tcpdump, and not transmitted by physical devices." kernel log output (truncated): WARNING: CPU: 1 PID: 5273 at net/core/dev.c:3535 skb_warn_bad_offload+0x81/0x140 ... Call Trace: <TASK> skb_checksum_help+0x12a/0x1f0 validate_xmit_skb+0x1a3/0x2d0 validate_xmit_skb_list+0x4f/0x80 sch_direct_xmit+0x1a2/0x380 __dev_xmit_skb+0x242/0x670 __dev_queue_xmit+0x3fc/0x7f0 ip6_finish_output2+0x25e/0x5d0 ip6_finish_output+0x1fc/0x3f0 ip6_tnl_xmit+0x608/0xc00 [ip6_tunnel] ip6gre_tunnel_xmit+0x1c0/0x390 [ip6_gre] dev_hard_start_xmit+0x63/0x1c0 __dev_queue_xmit+0x6d0/0x7f0 ip6_finish_output2+0x214/0x5d0 ip6_finish_output+0x1fc/0x3f0 ip6_xmit+0x2ca/0x6f0 ip6_finish_output+0x1fc/0x3f0 ip6_xmit+0x2ca/0x6f0 inet6_csk_xmit+0xeb/0x150 __tcp_transmit_skb+0x555/0xa80 tcp_write_xmit+0x32a/0xe90 tcp_sendmsg_locked+0x437/0x1110 tcp_sendmsg+0x2f/0x50 ... skb linear: 00000000: e4 3d 1a 7d ec 30 e4 3d 1a 7e 5d 90 86 dd 60 0e skb linear: 00000010: 00 0a 1b 34 3c 40 20 11 00 00 00 00 00 00 00 00 skb linear: 00000020: 00 00 00 00 00 12 20 11 00 00 00 00 00 00 00 00 skb linear: 00000030: 00 00 00 00 00 11 2f 00 04 01 04 01 01 00 00 00 skb linear: 00000040: 86 dd 60 0e 00 0a 1b 00 06 40 20 23 00 00 00 00 skb linear: 00000050: 00 00 00 00 00 00 00 00 00 12 20 23 00 00 00 00 skb linear: 00000060: 00 00 00 00 00 00 00 00 00 11 bf 96 14 51 13 f9 skb linear: 00000070: ae 27 a0 a8 2b e3 80 18 00 40 5b 6f 00 00 01 01 skb linear: 00000080: 08 0a 42 d4 50 d5 4b 70 f8 1a Уязвимость компонента net ядра операционной системы Linux связана с неправильной реализацией последовательности выполняемых действий. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/hisilicon/hibmc: fix the hibmc loaded failed bug When hibmc loaded failed, the driver use hibmc_unload to free the resource, but the mutexes in mode.config are not init, which will access an NULL pointer. Just change goto statement to return, because hibnc_hw_init() doesn't need to free anything. Уязвимость компонента drivers/gpu/drm/hisilicon/hibmc/hibmc_drm_drv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: fix soft lockup in br_multicast_query_expired() When set multicast_query_interval to a large value, the local variable 'time' in br_multicast_send_query() may overflow. If the time is smaller than jiffies, the timer will expire immediately, and then call mod_timer() again, which creates a loop and may trigger the following soft lockup issue. watchdog: BUG: soft lockup - CPU#1 stuck for 221s! [rb_consumer:66] CPU: 1 UID: 0 PID: 66 Comm: rb_consumer Not tainted 6.16.0+ #259 PREEMPT(none) Call Trace: <IRQ> __netdev_alloc_skb+0x2e/0x3a0 br_ip6_multicast_alloc_query+0x212/0x1b70 __br_multicast_send_query+0x376/0xac0 br_multicast_send_query+0x299/0x510 br_multicast_query_expired.constprop.0+0x16d/0x1b0 call_timer_fn+0x3b/0x2a0 __run_timers+0x619/0x950 run_timer_softirq+0x11c/0x220 handle_softirqs+0x18e/0x560 __irq_exit_rcu+0x158/0x1a0 sysvec_apic_timer_interrupt+0x76/0x90 </IRQ> This issue can be reproduced with: ip link add br0 type bridge echo 1 > /sys/class/net/br0/bridge/multicast_querier echo 0xffffffffffffffff > /sys/class/net/br0/bridge/multicast_query_interval ip link set dev br0 up The multicast_startup_query_interval can also cause this issue. Similar to the commit 99b40610956a ("net: bridge: mcast: add and enforce query interval minimum"), add check for the query interval maximum to fix this issue. Уязвимость функции br_multicast_query_expired() компонента net/bridge/br_multicast.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/debug_vm_pgtable: clear page table entries at destroy_args() The mm/debug_vm_pagetable test allocates manually page table entries for the tests it runs, using also its manually allocated mm_struct. That in itself is ok, but when it exits, at destroy_args() it fails to clear those entries with the *_clear functions. The problem is that leaves stale entries. If another process allocates an mm_struct with a pgd at the same address, it may end up running into the stale entry. This is happening in practice on a debug kernel with CONFIG_DEBUG_VM_PGTABLE=y, for example this is the output with some extra debugging I added (it prints a warning trace if pgtables_bytes goes negative, in addition to the warning at check_mm() function): [ 2.539353] debug_vm_pgtable: [get_random_vaddr ]: random_vaddr is 0x7ea247140000 [ 2.539366] kmem_cache info [ 2.539374] kmem_cachep 0x000000002ce82385 - freelist 0x0000000000000000 - offset 0x508 [ 2.539447] debug_vm_pgtable: [init_args ]: args->mm is 0x000000002267cc9e (...) [ 2.552800] WARNING: CPU: 5 PID: 116 at include/linux/mm.h:2841 free_pud_range+0x8bc/0x8d0 [ 2.552816] Modules linked in: [ 2.552843] CPU: 5 UID: 0 PID: 116 Comm: modprobe Not tainted 6.12.0-105.debug_vm2.el10.ppc64le+debug #1 VOLUNTARY [ 2.552859] Hardware name: IBM,9009-41A POWER9 (architected) 0x4e0202 0xf000005 of:IBM,FW910.00 (VL910_062) hv:phyp pSeries [ 2.552872] NIP: c0000000007eef3c LR: c0000000007eef30 CTR: c0000000003d8c90 [ 2.552885] REGS: c0000000622e73b0 TRAP: 0700 Not tainted (6.12.0-105.debug_vm2.el10.ppc64le+debug) [ 2.552899] MSR: 800000000282b033 <SF,VEC,VSX,EE,FP,ME,IR,DR,RI,LE> CR: 24002822 XER: 0000000a [ 2.552954] CFAR: c0000000008f03f0 IRQMASK: 0 [ 2.552954] GPR00: c0000000007eef30 c0000000622e7650 c000000002b1ac00 0000000000000001 [ 2.552954] GPR04: 0000000000000008 0000000000000000 c0000000007eef30 ffffffffffffffff [ 2.552954] GPR08: 00000000ffff00f5 0000000000000001 0000000000000048 0000000000004000 [ 2.552954] GPR12: 00000003fa440000 c000000017ffa300 c0000000051d9f80 ffffffffffffffdb [ 2.552954] GPR16: 0000000000000000 0000000000000008 000000000000000a 60000000000000e0 [ 2.552954] GPR20: 4080000000000000 c0000000113af038 00007fffcf130000 0000700000000000 [ 2.552954] GPR24: c000000062a6a000 0000000000000001 8000000062a68000 0000000000000001 [ 2.552954] GPR28: 000000000000000a c000000062ebc600 0000000000002000 c000000062ebc760 [ 2.553170] NIP [c0000000007eef3c] free_pud_range+0x8bc/0x8d0 [ 2.553185] LR [c0000000007eef30] free_pud_range+0x8b0/0x8d0 [ 2.553199] Call Trace: [ 2.553207] [c0000000622e7650] [c0000000007eef30] free_pud_range+0x8b0/0x8d0 (unreliable) [ 2.553229] [c0000000622e7750] [c0000000007f40b4] free_pgd_range+0x284/0x3b0 [ 2.553248] [c0000000622e7800] [c0000000007f4630] free_pgtables+0x450/0x570 [ 2.553274] [c0000000622e78e0] [c0000000008161c0] exit_mmap+0x250/0x650 [ 2.553292] [c0000000622e7a30] [c0000000001b95b8] __mmput+0x98/0x290 [ 2.558344] [c0000000622e7a80] [c0000000001d1018] exit_mm+0x118/0x1b0 [ 2.558361] [c0000000622e7ac0] [c0000000001d141c] do_exit+0x2ec/0x870 [ 2.558376] [c0000000622e7b60] [c0000000001d1ca8] do_group_exit+0x88/0x150 [ 2.558391] [c0000000622e7bb0] [c0000000001d1db8] sys_exit_group+0x48/0x50 [ 2.558407] [c0000000622e7be0] [c00000000003d810] system_call_exception+0x1e0/0x4c0 [ 2.558423] [c0000000622e7e50] [c00000000000d05c] system_call_vectored_common+0x15c/0x2ec (...) [ 2.558892] ---[ end trace 0000000000000000 ]--- [ 2.559022] BUG: Bad rss-counter state mm:000000002267cc9e type:MM_ANONPAGES val:1 [ 2.559037] BUG: non-zero pgtables_bytes on freeing mm: -6144 Here the modprobe process ended up with an allocated mm_struct from the mm_struct slab that was used before by the debug_vm_pgtable test. That is not a problem, since the mm_stru ---truncated--- Уязвимость функции destroy_args() компонента mm/debug_vm_pgtable.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jbd2: prevent softlockup in jbd2_log_do_checkpoint() Both jbd2_log_do_checkpoint() and jbd2_journal_shrink_checkpoint_list() periodically release j_list_lock after processing a batch of buffers to avoid long hold times on the j_list_lock. However, since both functions contend for j_list_lock, the combined time spent waiting and processing can be significant. jbd2_journal_shrink_checkpoint_list() explicitly calls cond_resched() when need_resched() is true to avoid softlockups during prolonged operations. But jbd2_log_do_checkpoint() only exits its loop when need_resched() is true, relying on potentially sleeping functions like __flush_batch() or wait_on_buffer() to trigger rescheduling. If those functions do not sleep, the kernel may hit a softlockup. watchdog: BUG: soft lockup - CPU#3 stuck for 156s! [kworker/u129:2:373] CPU: 3 PID: 373 Comm: kworker/u129:2 Kdump: loaded Not tainted 6.6.0+ #10 Hardware name: Huawei TaiShan 2280 /BC11SPCD, BIOS 1.27 06/13/2017 Workqueue: writeback wb_workfn (flush-7:2) pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : native_queued_spin_lock_slowpath+0x358/0x418 lr : jbd2_log_do_checkpoint+0x31c/0x438 [jbd2] Call trace: native_queued_spin_lock_slowpath+0x358/0x418 jbd2_log_do_checkpoint+0x31c/0x438 [jbd2] __jbd2_log_wait_for_space+0xfc/0x2f8 [jbd2] add_transaction_credits+0x3bc/0x418 [jbd2] start_this_handle+0xf8/0x560 [jbd2] jbd2__journal_start+0x118/0x228 [jbd2] __ext4_journal_start_sb+0x110/0x188 [ext4] ext4_do_writepages+0x3dc/0x740 [ext4] ext4_writepages+0xa4/0x190 [ext4] do_writepages+0x94/0x228 __writeback_single_inode+0x48/0x318 writeback_sb_inodes+0x204/0x590 __writeback_inodes_wb+0x54/0xf8 wb_writeback+0x2cc/0x3d8 wb_do_writeback+0x2e0/0x2f8 wb_workfn+0x80/0x2a8 process_one_work+0x178/0x3e8 worker_thread+0x234/0x3b8 kthread+0xf0/0x108 ret_from_fork+0x10/0x20 So explicitly call cond_resched() in jbd2_log_do_checkpoint() to avoid softlockup. Уязвимость функции jbd2_log_do_checkpoint() компонента fs/jbd2/checkpoint.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Fix configfs group list head handling Doing a list_del() on the epf_group field of struct pci_epf_driver in pci_epf_remove_cfs() is not correct as this field is a list head, not a list entry. This list_del() call triggers a KASAN warning when an endpoint function driver which has a configfs attribute group is torn down: ================================================================== BUG: KASAN: slab-use-after-free in pci_epf_remove_cfs+0x17c/0x198 Write of size 8 at addr ffff00010f4a0d80 by task rmmod/319 CPU: 3 UID: 0 PID: 319 Comm: rmmod Not tainted 6.16.0-rc2 #1 NONE Hardware name: Radxa ROCK 5B (DT) Call trace: show_stack+0x2c/0x84 (C) dump_stack_lvl+0x70/0x98 print_report+0x17c/0x538 kasan_report+0xb8/0x190 __asan_report_store8_noabort+0x20/0x2c pci_epf_remove_cfs+0x17c/0x198 pci_epf_unregister_driver+0x18/0x30 nvmet_pci_epf_cleanup_module+0x24/0x30 [nvmet_pci_epf] __arm64_sys_delete_module+0x264/0x424 invoke_syscall+0x70/0x260 el0_svc_common.constprop.0+0xac/0x230 do_el0_svc+0x40/0x58 el0_svc+0x48/0xdc el0t_64_sync_handler+0x10c/0x138 el0t_64_sync+0x198/0x19c ... Remove this incorrect list_del() call from pci_epf_remove_cfs(). Уязвимость функции pci_epf_remove_cfs() компонента drivers/pci/endpoint/pci-epf-core.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: mdt_loader: Ensure we don't read past the ELF header When the MDT loader is used in remoteproc, the ELF header is sanitized beforehand, but that's not necessary the case for other clients. Validate the size of the firmware buffer to ensure that we don't read past the end as we iterate over the header. e_phentsize and e_shentsize are validated as well, to ensure that the assumptions about step size in the traversal are valid. Уязвимость компонента drivers/soc/qcom/mdt_loader.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: exynos: Fix programming of HCI_UTRL_NEXUS_TYPE On Google gs101, the number of UTP transfer request slots (nutrs) is 32, and in this case the driver ends up programming the UTRL_NEXUS_TYPE incorrectly as 0. This is because the left hand side of the shift is 1, which is of type int, i.e. 31 bits wide. Shifting by more than that width results in undefined behaviour. Fix this by switching to the BIT() macro, which applies correct type casting as required. This ensures the correct value is written to UTRL_NEXUS_TYPE (0xffffffff on gs101), and it also fixes a UBSAN shift warning: UBSAN: shift-out-of-bounds in drivers/ufs/host/ufs-exynos.c:1113:21 shift exponent 32 is too large for 32-bit type 'int' For consistency, apply the same change to the nutmrs / UTMRL_NEXUS_TYPE write. Уязвимость компонента ufs-exynos.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: host: Detect events pointing to unexpected TREs When a remote device sends a completion event to the host, it contains a pointer to the consumed TRE. The host uses this pointer to process all of the TREs between it and the host's local copy of the ring's read pointer. This works when processing completion for chained transactions, but can lead to nasty results if the device sends an event for a single-element transaction with a read pointer that is multiple elements ahead of the host's read pointer. For instance, if the host accesses an event ring while the device is updating it, the pointer inside of the event might still point to an old TRE. If the host uses the channel's xfer_cb() to directly free the buffer pointed to by the TRE, the buffer will be double-freed. This behavior was observed on an ep that used upstream EP stack without 'commit 6f18d174b73d ("bus: mhi: ep: Update read pointer only after buffer is written")'. Where the device updated the events ring pointer before updating the event contents, so it left a window where the host was able to access the stale data the event pointed to, before the device had the chance to update them. The usual pattern was that the host received an event pointing to a TRE that is not immediately after the last processed one, so it got treated as if it was a chained transaction, processing all of the TREs in between the two read pointers. This commit aims to harden the host by ensuring transactions where the event points to a TRE that isn't local_rp + 1 are chained. [mani: added stable tag and reworded commit message] Уязвимость компонента drivers/bus ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: avoid possible overflow for chunk_sectors check in blk_stack_limits() In blk_stack_limits(), we check that the t->chunk_sectors value is a multiple of the t->physical_block_size value. However, by finding the chunk_sectors value in bytes, we may overflow the unsigned int which holds chunk_sectors, so change the check to be based on sectors. Уязвимость функции blk_stack_limits() компонента block/blk-settings.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix the setting of capabilities when automounting a new filesystem Capabilities cannot be inherited when we cross into a new filesystem. They need to be reset to the minimal defaults, and then probed for again. Уязвимость компонента fs/nfs ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: abort transaction on unexpected eb generation at btrfs_copy_root() If we find an unexpected generation for the extent buffer we are cloning at btrfs_copy_root(), we just WARN_ON() and don't error out and abort the transaction, meaning we allow to persist metadata with an unexpected generation. Instead of warning only, abort the transaction and return -EUCLEAN. Уязвимость функции btrfs_copy_root() компонента btrfs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: Remove WARN_ON for device endpoint command timeouts This commit addresses a rarely observed endpoint command timeout which causes kernel panic due to warn when 'panic_on_warn' is enabled and unnecessary call trace prints when 'panic_on_warn' is disabled. It is seen during fast software-controlled connect/disconnect testcases. The following is one such endpoint command timeout that we observed: 1. Connect ======= ->dwc3_thread_interrupt ->dwc3_ep0_interrupt ->configfs_composite_setup ->composite_setup ->usb_ep_queue ->dwc3_gadget_ep0_queue ->__dwc3_gadget_ep0_queue ->__dwc3_ep0_do_control_data ->dwc3_send_gadget_ep_cmd 2. Disconnect ========== ->dwc3_thread_interrupt ->dwc3_gadget_disconnect_interrupt ->dwc3_ep0_reset_state ->dwc3_ep0_end_control_data ->dwc3_send_gadget_ep_cmd In the issue scenario, in Exynos platforms, we observed that control transfers for the previous connect have not yet been completed and end transfer command sent as a part of the disconnect sequence and processing of USB_ENDPOINT_HALT feature request from the host timeout. This maybe an expected scenario since the controller is processing EP commands sent as a part of the previous connect. It maybe better to remove WARN_ON in all places where device endpoint commands are sent to avoid unnecessary kernel panic due to warn. Уязвимость компонента dwc3 ядра операционной системы Linux связана с чрезмерным потреблением ресурсов в цикле. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: multitouch: fix slab out-of-bounds access in mt_report_fixup() A malicious HID device can trigger a slab out-of-bounds during mt_report_fixup() by passing in report descriptor smaller than 607 bytes. mt_report_fixup() attempts to patch byte offset 607 of the descriptor with 0x25 by first checking if byte offset 607 is 0x15 however it lacks bounds checks to verify if the descriptor is big enough before conducting this check. Fix this bug by ensuring the descriptor size is at least 608 bytes before accessing it. Below is the KASAN splat after the out of bounds access happens: [ 13.671954] ================================================================== [ 13.672667] BUG: KASAN: slab-out-of-bounds in mt_report_fixup+0x103/0x110 [ 13.673297] Read of size 1 at addr ffff888103df39df by task kworker/0:1/10 [ 13.673297] [ 13.673297] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Not tainted 6.15.0-00005-gec5d573d83f4-dirty #3 [ 13.673297] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/04 [ 13.673297] Call Trace: [ 13.673297] <TASK> [ 13.673297] dump_stack_lvl+0x5f/0x80 [ 13.673297] print_report+0xd1/0x660 [ 13.673297] kasan_report+0xe5/0x120 [ 13.673297] __asan_report_load1_noabort+0x18/0x20 [ 13.673297] mt_report_fixup+0x103/0x110 [ 13.673297] hid_open_report+0x1ef/0x810 [ 13.673297] mt_probe+0x422/0x960 [ 13.673297] hid_device_probe+0x2e2/0x6f0 [ 13.673297] really_probe+0x1c6/0x6b0 [ 13.673297] __driver_probe_device+0x24f/0x310 [ 13.673297] driver_probe_device+0x4e/0x220 [ 13.673297] __device_attach_driver+0x169/0x320 [ 13.673297] bus_for_each_drv+0x11d/0x1b0 [ 13.673297] __device_attach+0x1b8/0x3e0 [ 13.673297] device_initial_probe+0x12/0x20 [ 13.673297] bus_probe_device+0x13d/0x180 [ 13.673297] device_add+0xe3a/0x1670 [ 13.673297] hid_add_device+0x31d/0xa40 [...] Уязвимость функции mt_report_fixup() ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально подключённого HID устройства [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: hid-ntrig: fix unable to handle page fault in ntrig_report_version() in ntrig_report_version(), hdev parameter passed from hid_probe(). sending descriptor to /dev/uhid can make hdev->dev.parent->parent to null if hdev->dev.parent->parent is null, usb_dev has invalid address(0xffffffffffffff58) that hid_to_usb_dev(hdev) returned when usb_rcvctrlpipe() use usb_dev,it trigger page fault error for address(0xffffffffffffff58) add null check logic to ntrig_report_version() before calling hid_to_usb_dev() Уязвимость компонента hid-ntrig ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: initialize more fields in sctp_v6_from_sk() syzbot found that sin6_scope_id was not properly initialized, leading to undefined behavior. Clear sin6_scope_id and sin6_flowinfo. BUG: KMSAN: uninit-value in __sctp_v6_cmp_addr+0x887/0x8c0 net/sctp/ipv6.c:649 __sctp_v6_cmp_addr+0x887/0x8c0 net/sctp/ipv6.c:649 sctp_inet6_cmp_addr+0x4f2/0x510 net/sctp/ipv6.c:983 sctp_bind_addr_conflict+0x22a/0x3b0 net/sctp/bind_addr.c:390 sctp_get_port_local+0x21eb/0x2440 net/sctp/socket.c:8452 sctp_get_port net/sctp/socket.c:8523 [inline] sctp_listen_start net/sctp/socket.c:8567 [inline] sctp_inet_listen+0x710/0xfd0 net/sctp/socket.c:8636 __sys_listen_socket net/socket.c:1912 [inline] __sys_listen net/socket.c:1927 [inline] __do_sys_listen net/socket.c:1932 [inline] __se_sys_listen net/socket.c:1930 [inline] __x64_sys_listen+0x343/0x4c0 net/socket.c:1930 x64_sys_call+0x271d/0x3e20 arch/x86/include/generated/asm/syscalls_64.h:51 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Local variable addr.i.i created at: sctp_get_port net/sctp/socket.c:8515 [inline] sctp_listen_start net/sctp/socket.c:8567 [inline] sctp_inet_listen+0x650/0xfd0 net/sctp/socket.c:8636 __sys_listen_socket net/socket.c:1912 [inline] __sys_listen net/socket.c:1927 [inline] __do_sys_listen net/socket.c:1932 [inline] __se_sys_listen net/socket.c:1930 [inline] __x64_sys_listen+0x343/0x4c0 net/socket.c:1930 Уязвимость функции sctp_v6_from_sk() ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix potential warning in trace_printk_seq during ftrace_dump When calling ftrace_dump_one() concurrently with reading trace_pipe, a WARN_ON_ONCE() in trace_printk_seq() can be triggered due to a race condition. The issue occurs because: CPU0 (ftrace_dump) CPU1 (reader) echo z > /proc/sysrq-trigger !trace_empty(&iter) trace_iterator_reset(&iter) <- len = size = 0 cat /sys/kernel/tracing/trace_pipe trace_find_next_entry_inc(&iter) __find_next_entry ring_buffer_empty_cpu <- all empty return NULL trace_printk_seq(&iter.seq) WARN_ON_ONCE(s->seq.len >= s->seq.size) In the context between trace_empty() and trace_find_next_entry_inc() during ftrace_dump, the ring buffer data was consumed by other readers. This caused trace_find_next_entry_inc to return NULL, failing to populate `iter.seq`. At this point, due to the prior trace_iterator_reset, both `iter.seq.len` and `iter.seq.size` were set to 0. Since they are equal, the WARN_ON_ONCE condition is triggered. Move the trace_printk_seq() into the if block that checks to make sure the return value of trace_find_next_entry_inc() is non-NULL in ftrace_dump_one(), ensuring the 'iter.seq' is properly populated before subsequent operations. Уязвимость функции trace_printk_seq() ядра операционной системы Linux связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: efivarfs: Fix slab-out-of-bounds in efivarfs_d_compare Observed on kernel 6.6 (present on master as well): BUG: KASAN: slab-out-of-bounds in memcmp+0x98/0xd0 Call trace: kasan_check_range+0xe8/0x190 __asan_loadN+0x1c/0x28 memcmp+0x98/0xd0 efivarfs_d_compare+0x68/0xd8 __d_lookup_rcu_op_compare+0x178/0x218 __d_lookup_rcu+0x1f8/0x228 d_alloc_parallel+0x150/0x648 lookup_open.isra.0+0x5f0/0x8d0 open_last_lookups+0x264/0x828 path_openat+0x130/0x3f8 do_filp_open+0x114/0x248 do_sys_openat2+0x340/0x3c0 __arm64_sys_openat+0x120/0x1a0 If dentry->d_name.len < EFI_VARIABLE_GUID_LEN , 'guid' can become negative, leadings to oob. The issue can be triggered by parallel lookups using invalid filename: T1 T2 lookup_open ->lookup simple_lookup d_add // invalid dentry is added to hash list lookup_open d_alloc_parallel __d_lookup_rcu __d_lookup_rcu_op_compare hlist_bl_for_each_entry_rcu // invalid dentry can be retrieved ->d_compare efivarfs_d_compare // oob Fix it by checking 'guid' before cmp. Уязвимость компонента efivarfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/smb: Fix inconsistent refcnt update A possible inconsistent update of refcount was identified in `smb2_compound_op`. Such inconsistent update could lead to possible resource leaks. Why it is a possible bug: 1. In the comment section of the function, it clearly states that the reference to `cfile` should be dropped after calling this function. 2. Every control flow path would check and drop the reference to `cfile`, except the patched one. 3. Existing callers would not handle refcount update of `cfile` if -ENOMEM is returned. To fix the bug, an extra goto label "out" is added, to make sure that the cleanup logic would always be respected. As the problem is caused by the allocation failure of `vars`, the cleanup logic between label "finished" and "out" can be safely ignored. According to the definition of function `is_replayable_error`, the error code of "-ENOMEM" is not recoverable. Therefore, the replay logic also gets ignored. Уязвимость компонента fs/smb ядра операционной системы Linux связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: use array_index_nospec with indices that come from guest min and dest_id are guest-controlled indices. Using array_index_nospec() after the bounds checks clamps these values to mitigate speculative execution side-channels. Уязвимость функции rray_index_nospec() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: asus: fix UAF via HID_CLAIMED_INPUT validation After hid_hw_start() is called hidinput_connect() will eventually be called to set up the device with the input layer since the HID_CONNECT_DEFAULT connect mask is used. During hidinput_connect() all input and output reports are processed and corresponding hid_inputs are allocated and configured via hidinput_configure_usages(). This process involves slot tagging report fields and configuring usages by setting relevant bits in the capability bitmaps. However it is possible that the capability bitmaps are not set at all leading to the subsequent hidinput_has_been_populated() check to fail leading to the freeing of the hid_input and the underlying input device. This becomes problematic because a malicious HID device like a ASUS ROG N-Key keyboard can trigger the above scenario via a specially crafted descriptor which then leads to a user-after-free when the name of the freed input device is written to later on after hid_hw_start(). Below, report 93 intentionally utilises the HID_UP_UNDEFINED Usage Page which is skipped during usage configuration, leading to the frees. 0x05, 0x0D, // Usage Page (Digitizer) 0x09, 0x05, // Usage (Touch Pad) 0xA1, 0x01, // Collection (Application) 0x85, 0x0D, // Report ID (13) 0x06, 0x00, 0xFF, // Usage Page (Vendor Defined 0xFF00) 0x09, 0xC5, // Usage (0xC5) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x04, // Report Count (4) 0xB1, 0x02, // Feature (Data,Var,Abs) 0x85, 0x5D, // Report ID (93) 0x06, 0x00, 0x00, // Usage Page (Undefined) 0x09, 0x01, // Usage (0x01) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x1B, // Report Count (27) 0x81, 0x02, // Input (Data,Var,Abs) 0xC0, // End Collection Below is the KASAN splat after triggering the UAF: [ 21.672709] ================================================================== [ 21.673700] BUG: KASAN: slab-use-after-free in asus_probe+0xeeb/0xf80 [ 21.673700] Write of size 8 at addr ffff88810a0ac000 by task kworker/1:2/54 [ 21.673700] [ 21.673700] CPU: 1 UID: 0 PID: 54 Comm: kworker/1:2 Not tainted 6.16.0-rc4-g9773391cf4dd-dirty #36 PREEMPT(voluntary) [ 21.673700] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014 [ 21.673700] Call Trace: [ 21.673700] <TASK> [ 21.673700] dump_stack_lvl+0x5f/0x80 [ 21.673700] print_report+0xd1/0x660 [ 21.673700] kasan_report+0xe5/0x120 [ 21.673700] __asan_report_store8_noabort+0x1b/0x30 [ 21.673700] asus_probe+0xeeb/0xf80 [ 21.673700] hid_device_probe+0x2ee/0x700 [ 21.673700] really_probe+0x1c6/0x6b0 [ 21.673700] __driver_probe_device+0x24f/0x310 [ 21.673700] driver_probe_device+0x4e/0x220 [...] [ 21.673700] [ 21.673700] Allocated by task 54: [ 21.673700] kasan_save_stack+0x3d/0x60 [ 21.673700] kasan_save_track+0x18/0x40 [ 21.673700] kasan_save_alloc_info+0x3b/0x50 [ 21.673700] __kasan_kmalloc+0x9c/0xa0 [ 21.673700] __kmalloc_cache_noprof+0x139/0x340 [ 21.673700] input_allocate_device+0x44/0x370 [ 21.673700] hidinput_connect+0xcb6/0x2630 [ 21.673700] hid_connect+0xf74/0x1d60 [ 21.673700] hid_hw_start+0x8c/0x110 [ 21.673700] asus_probe+0x5a3/0xf80 [ 21.673700] hid_device_probe+0x2ee/0x700 [ 21.673700] really_probe+0x1c6/0x6b0 [ 21.673700] __driver_probe_device+0x24f/0x310 [ 21.673700] driver_probe_device+0x4e/0x220 [...] [ 21.673700] [ 21.673700] Freed by task 54: [ 21.673700] kasan_save_stack+0x3d/0x60 [ 21.673700] kasan_save_track+0x18/0x40 [ 21.673700] kasan_save_free_info+0x3f/0x60 [ 21.673700] __kasan_slab_free+0x3c/0x50 [ 21.673700] kfre ---truncated--- Уязвимость компонента hid-asus.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix race with concurrent opens in rename(2) Besides sending the rename request to the server, the rename process also involves closing any deferred close, waiting for outstanding I/O to complete as well as marking all existing open handles as deleted to prevent them from deferring closes, which increases the race window for potential concurrent opens on the target file. Fix this by unhashing the dentry in advance to prevent any concurrent opens on the target. Уязвимость компонента inode.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: rose: convert 'use' field to refcount_t The 'use' field in struct rose_neigh is used as a reference counter but lacks atomicity. This can lead to race conditions where a rose_neigh structure is freed while still being referenced by other code paths. For example, when rose_neigh->use becomes zero during an ioctl operation via rose_rt_ioctl(), the structure may be removed while its timer is still active, potentially causing use-after-free issues. This patch changes the type of 'use' from unsigned short to refcount_t and updates all code paths to use rose_neigh_hold() and rose_neigh_put() which operate reference counts atomically. Уязвимость компонентов rose ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: rose: include node references in rose_neigh refcount Current implementation maintains two separate reference counting mechanisms: the 'count' field in struct rose_neigh tracks references from rose_node structures, while the 'use' field (now refcount_t) tracks references from rose_sock. This patch merges these two reference counting systems using 'use' field for proper reference management. Specifically, this patch adds incrementing and decrementing of rose_neigh->use when rose_neigh->count is incremented or decremented. This patch also modifies rose_rt_free(), rose_rt_device_down() and rose_clear_route() to properly release references to rose_neigh objects before freeing a rose_node through rose_remove_node(). These changes ensure rose_neigh structures are properly freed only when all references, including those from rose_node structures, are released. As a result, this resolves a slab-use-after-free issue reported by Syzbot. Уязвимость компонента rose_route.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: atmtcp: Prevent arbitrary write in atmtcp_recv_control(). syzbot reported the splat below. [0] When atmtcp_v_open() or atmtcp_v_close() is called via connect() or close(), atmtcp_send_control() is called to send an in-kernel special message. The message has ATMTCP_HDR_MAGIC in atmtcp_control.hdr.length. Also, a pointer of struct atm_vcc is set to atmtcp_control.vcc. The notable thing is struct atmtcp_control is uAPI but has a space for an in-kernel pointer. struct atmtcp_control { struct atmtcp_hdr hdr; /* must be first */ ... atm_kptr_t vcc; /* both directions */ ... } __ATM_API_ALIGN; typedef struct { unsigned char _[8]; } __ATM_API_ALIGN atm_kptr_t; The special message is processed in atmtcp_recv_control() called from atmtcp_c_send(). atmtcp_c_send() is vcc->dev->ops->send() and called from 2 paths: 1. .ndo_start_xmit() (vcc->send() == atm_send_aal0()) 2. vcc_sendmsg() The problem is sendmsg() does not validate the message length and userspace can abuse atmtcp_recv_control() to overwrite any kptr by atmtcp_control. Let's add a new ->pre_send() hook to validate messages from sendmsg(). [0]: Oops: general protection fault, probably for non-canonical address 0xdffffc00200000ab: 0000 [#1] SMP KASAN PTI KASAN: probably user-memory-access in range [0x0000000100000558-0x000000010000055f] CPU: 0 UID: 0 PID: 5865 Comm: syz-executor331 Not tainted 6.17.0-rc1-syzkaller-00215-gbab3ce404553 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:atmtcp_recv_control drivers/atm/atmtcp.c:93 [inline] RIP: 0010:atmtcp_c_send+0x1da/0x950 drivers/atm/atmtcp.c:297 Code: 4d 8d 75 1a 4c 89 f0 48 c1 e8 03 42 0f b6 04 20 84 c0 0f 85 15 06 00 00 41 0f b7 1e 4d 8d b7 60 05 00 00 4c 89 f0 48 c1 e8 03 <42> 0f b6 04 20 84 c0 0f 85 13 06 00 00 66 41 89 1e 4d 8d 75 1c 4c RSP: 0018:ffffc90003f5f810 EFLAGS: 00010203 RAX: 00000000200000ab RBX: 0000000000000000 RCX: 0000000000000000 RDX: ffff88802a510000 RSI: 00000000ffffffff RDI: ffff888030a6068c RBP: ffff88802699fb40 R08: ffff888030a606eb R09: 1ffff1100614c0dd R10: dffffc0000000000 R11: ffffffff8718fc40 R12: dffffc0000000000 R13: ffff888030a60680 R14: 000000010000055f R15: 00000000ffffffff FS: 00007f8d7e9236c0(0000) GS:ffff888125c1c000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000045ad50 CR3: 0000000075bde000 CR4: 00000000003526f0 Call Trace: <TASK> vcc_sendmsg+0xa10/0xc60 net/atm/common.c:645 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:729 ____sys_sendmsg+0x505/0x830 net/socket.c:2614 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2668 __sys_sendmsg net/socket.c:2700 [inline] __do_sys_sendmsg net/socket.c:2705 [inline] __se_sys_sendmsg net/socket.c:2703 [inline] __x64_sys_sendmsg+0x19b/0x260 net/socket.c:2703 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f8d7e96a4a9 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 51 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f8d7e923198 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f8d7e9f4308 RCX: 00007f8d7e96a4a9 RDX: 0000000000000000 RSI: 0000200000000240 RDI: 0000000000000005 RBP: 00007f8d7e9f4300 R08: 65732f636f72702f R09: 65732f636f72702f R10: 65732f636f72702f R11: 0000000000000246 R12: 00007f8d7e9c10ac R13: 00007f8d7e9231a0 R14: 0000200000000200 R15: 0000200000000250 </TASK> Modules linked in: Уязвимость компонентов atm ядра операционной системы Linux связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: do not propagate ENODATA disk errors into xattr code ENODATA (aka ENOATTR) has a very specific meaning in the xfs xattr code; namely, that the requested attribute name could not be found. However, a medium error from disk may also return ENODATA. At best, this medium error may escape to userspace as "attribute not found" when in fact it's an IO (disk) error. At worst, we may oops in xfs_attr_leaf_get() when we do: error = xfs_attr_leaf_hasname(args, &bp); if (error == -ENOATTR) { xfs_trans_brelse(args->trans, bp); return error; } because an ENODATA/ENOATTR error from disk leaves us with a null bp, and the xfs_trans_brelse will then null-deref it. As discussed on the list, we really need to modify the lower level IO functions to trap all disk errors and ensure that we don't let unique errors like this leak up into higher xfs functions - many like this should be remapped to EIO. However, this patch directly addresses a reported bug in the xattr code, and should be safe to backport to stable kernels. A larger-scope patch to handle more unique errors at lower levels can follow later. (Note, prior to 07120f1abdff we did not oops, but we did return the wrong error code to userspace.) Уязвимость компонента xfs ядра операционной системы Linux связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cifs: prevent NULL pointer dereference in UTF16 conversion There can be a NULL pointer dereference bug here. NULL is passed to __cifs_sfu_make_node without checks, which passes it unchecked to cifs_strndup_to_utf16, which in turn passes it to cifs_local_to_utf16_bytes where '*from' is dereferenced, causing a crash. This patch adds a check for NULL 'src' in cifs_strndup_to_utf16 and returns NULL early to prevent dereferencing NULL pointer. Found by Linux Verification Center (linuxtesting.org) with SVACE Уязвимость компонента cifs_unicode.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: batman-adv: fix OOB read/write in network-coding decode batadv_nc_skb_decode_packet() trusts coded_len and checks only against skb->len. XOR starts at sizeof(struct batadv_unicast_packet), reducing payload headroom, and the source skb length is not verified, allowing an out-of-bounds read and a small out-of-bounds write. Validate that coded_len fits within the payload area of both destination and source sk_buffs before XORing. Уязвимость компонента network-coding.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Fix buffer free/clear order in deferred receive path Fix a use-after-free window by correcting the buffer release sequence in the deferred receive path. The code freed the RQ buffer first and only then cleared the context pointer under the lock. Concurrent paths (e.g., ABTS and the repost path) also inspect and release the same pointer under the lock, so the old order could lead to double-free/UAF. Note that the repost path already uses the correct pattern: detach the pointer under the lock, then free it after dropping the lock. The deferred path should do the same. Уязвимость компонента lpfc_nvmet.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: prevent release journal inode after journal shutdown Before calling ocfs2_delete_osb(), ocfs2_journal_shutdown() has already been executed in ocfs2_dismount_volume(), so osb->journal must be NULL. Therefore, the following calltrace will inevitably fail when it reaches jbd2_journal_release_jbd_inode(). ocfs2_dismount_volume()-> ocfs2_delete_osb()-> ocfs2_free_slot_info()-> __ocfs2_free_slot_info()-> evict()-> ocfs2_evict_inode()-> ocfs2_clear_inode()-> jbd2_journal_release_jbd_inode(osb->journal->j_journal, Adding osb->journal checks will prevent null-ptr-deref during the above execution path. Уязвимость функции ocfs2_delete_osb() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: slub: avoid wake up kswapd in set_track_prepare set_track_prepare() can incur lock recursion. The issue is that it is called from hrtimer_start_range_ns holding the per_cpu(hrtimer_bases)[n].lock, but when enabled CONFIG_DEBUG_OBJECTS_TIMERS, may wake up kswapd in set_track_prepare, and try to hold the per_cpu(hrtimer_bases)[n].lock. Avoid deadlock caused by implicitly waking up kswapd by passing in allocation flags, which do not contain __GFP_KSWAPD_RECLAIM in the debug_objects_fill_pool() case. Inside stack depot they are processed by gfp_nested_mask(). Since ___slab_alloc() has preemption disabled, we mask out __GFP_DIRECT_RECLAIM from the flags there. The oops looks something like: BUG: spinlock recursion on CPU#3, swapper/3/0 lock: 0xffffff8a4bf29c80, .magic: dead4ead, .owner: swapper/3/0, .owner_cpu: 3 Hardware name: Qualcomm Technologies, Inc. Popsicle based on SM8850 (DT) Call trace: spin_bug+0x0 _raw_spin_lock_irqsave+0x80 hrtimer_try_to_cancel+0x94 task_contending+0x10c enqueue_dl_entity+0x2a4 dl_server_start+0x74 enqueue_task_fair+0x568 enqueue_task+0xac do_activate_task+0x14c ttwu_do_activate+0xcc try_to_wake_up+0x6c8 default_wake_function+0x20 autoremove_wake_function+0x1c __wake_up+0xac wakeup_kswapd+0x19c wake_all_kswapds+0x78 __alloc_pages_slowpath+0x1ac __alloc_pages_noprof+0x298 stack_depot_save_flags+0x6b0 stack_depot_save+0x14 set_track_prepare+0x5c ___slab_alloc+0xccc __kmalloc_cache_noprof+0x470 __set_page_owner+0x2bc post_alloc_hook[jt]+0x1b8 prep_new_page+0x28 get_page_from_freelist+0x1edc __alloc_pages_noprof+0x13c alloc_slab_page+0x244 allocate_slab+0x7c ___slab_alloc+0x8e8 kmem_cache_alloc_noprof+0x450 debug_objects_fill_pool+0x22c debug_object_activate+0x40 enqueue_hrtimer[jt]+0xdc hrtimer_start_range_ns+0x5f8 ... Уязвимость компонента slub.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: move page table sync declarations to linux/pgtable.h During our internal testing, we started observing intermittent boot failures when the machine uses 4-level paging and has a large amount of persistent memory: BUG: unable to handle page fault for address: ffffe70000000034 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 0 P4D 0 Oops: 0002 [#1] SMP NOPTI RIP: 0010:__init_single_page+0x9/0x6d Call Trace: <TASK> __init_zone_device_page+0x17/0x5d memmap_init_zone_device+0x154/0x1bb pagemap_range+0x2e0/0x40f memremap_pages+0x10b/0x2f0 devm_memremap_pages+0x1e/0x60 dev_dax_probe+0xce/0x2ec [device_dax] dax_bus_probe+0x6d/0xc9 [... snip ...] </TASK> It turns out that the kernel panics while initializing vmemmap (struct page array) when the vmemmap region spans two PGD entries, because the new PGD entry is only installed in init_mm.pgd, but not in the page tables of other tasks. And looking at __populate_section_memmap(): if (vmemmap_can_optimize(altmap, pgmap)) // does not sync top level page tables r = vmemmap_populate_compound_pages(pfn, start, end, nid, pgmap); else // sync top level page tables in x86 r = vmemmap_populate(start, end, nid, altmap); In the normal path, vmemmap_populate() in arch/x86/mm/init_64.c synchronizes the top level page table (See commit 9b861528a801 ("x86-64, mem: Update all PGDs for direct mapping and vmemmap mapping changes")) so that all tasks in the system can see the new vmemmap area. However, when vmemmap_can_optimize() returns true, the optimized path skips synchronization of top-level page tables. This is because vmemmap_populate_compound_pages() is implemented in core MM code, which does not handle synchronization of the top-level page tables. Instead, the core MM has historically relied on each architecture to perform this synchronization manually. We're not the first party to encounter a crash caused by not-sync'd top level page tables: earlier this year, Gwan-gyeong Mun attempted to address the issue [1] [2] after hitting a kernel panic when x86 code accessed the vmemmap area before the corresponding top-level entries were synced. At that time, the issue was believed to be triggered only when struct page was enlarged for debugging purposes, and the patch did not get further updates. It turns out that current approach of relying on each arch to handle the page table sync manually is fragile because 1) it's easy to forget to sync the top level page table, and 2) it's also easy to overlook that the kernel should not access the vmemmap and direct mapping areas before the sync. # The solution: Make page table sync more code robust and harder to miss To address this, Dave Hansen suggested [3] [4] introducing {pgd,p4d}_populate_kernel() for updating kernel portion of the page tables and allow each architecture to explicitly perform synchronization when installing top-level entries. With this approach, we no longer need to worry about missing the sync step, reducing the risk of future regressions. The new interface reuses existing ARCH_PAGE_TABLE_SYNC_MASK, PGTBL_P*D_MODIFIED and arch_sync_kernel_mappings() facility used by vmalloc and ioremap to synchronize page tables. pgd_populate_kernel() looks like this: static inline void pgd_populate_kernel(unsigned long addr, pgd_t *pgd, p4d_t *p4d) { pgd_populate(&init_mm, pgd, p4d); if (ARCH_PAGE_TABLE_SYNC_MASK & PGTBL_PGD_MODIFIED) arch_sync_kernel_mappings(addr, addr); } It is worth noting that vmalloc() and apply_to_range() carefully synchronizes page tables by calling p*d_alloc_track() and arch_sync_kernel_mappings(), and thus they are not affected by ---truncated--- Уязвимость функции __populate_section_memmap() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm/64: define ARCH_PAGE_TABLE_SYNC_MASK and arch_sync_kernel_mappings() Define ARCH_PAGE_TABLE_SYNC_MASK and arch_sync_kernel_mappings() to ensure page tables are properly synchronized when calling p*d_populate_kernel(). For 5-level paging, synchronization is performed via pgd_populate_kernel(). In 4-level paging, pgd_populate() is a no-op, so synchronization is instead performed at the P4D level via p4d_populate_kernel(). This fixes intermittent boot failures on systems using 4-level paging and a large amount of persistent memory: BUG: unable to handle page fault for address: ffffe70000000034 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 0 P4D 0 Oops: 0002 [#1] SMP NOPTI RIP: 0010:__init_single_page+0x9/0x6d Call Trace: <TASK> __init_zone_device_page+0x17/0x5d memmap_init_zone_device+0x154/0x1bb pagemap_range+0x2e0/0x40f memremap_pages+0x10b/0x2f0 devm_memremap_pages+0x1e/0x60 dev_dax_probe+0xce/0x2ec [device_dax] dax_bus_probe+0x6d/0xc9 [... snip ...] </TASK> It also fixes a crash in vmemmap_set_pmd() caused by accessing vmemmap before sync_global_pgds() [1]: BUG: unable to handle page fault for address: ffffeb3ff1200000 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 0 P4D 0 Oops: Oops: 0002 [#1] PREEMPT SMP NOPTI Tainted: [W]=WARN RIP: 0010:vmemmap_set_pmd+0xff/0x230 <TASK> vmemmap_populate_hugepages+0x176/0x180 vmemmap_populate+0x34/0x80 __populate_section_memmap+0x41/0x90 sparse_add_section+0x121/0x3e0 __add_pages+0xba/0x150 add_pages+0x1d/0x70 memremap_pages+0x3dc/0x810 devm_memremap_pages+0x1c/0x60 xe_devm_add+0x8b/0x100 [xe] xe_tile_init_noalloc+0x6a/0x70 [xe] xe_device_probe+0x48c/0x740 [xe] [... snip ...] Уязвимость функции arch_sync_kernel_mappings() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pcmcia: Fix a NULL pointer dereference in __iodyn_find_io_region() In __iodyn_find_io_region(), pcmcia_make_resource() is assigned to res and used in pci_bus_alloc_resource(). There is a dereference of res in pci_bus_alloc_resource(), which could lead to a NULL pointer dereference on failure of pcmcia_make_resource(). Fix this bug by adding a check of res. Уязвимость функции __iodyn_find_io_region() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppp: fix memory leak in pad_compress_skb If alloc_skb() fails in pad_compress_skb(), it returns NULL without releasing the old skb. The caller does: skb = pad_compress_skb(ppp, skb); if (!skb) goto drop; drop: kfree_skb(skb); When pad_compress_skb() returns NULL, the reference to the old skb is lost and kfree_skb(skb) ends up doing nothing, leading to a memory leak. Align pad_compress_skb() semantics with realloc(): only free the old skb if allocation and compression succeed. At the call site, use the new_skb variable so the original skb is not lost when pad_compress_skb() fails. Уязвимость функции pad_compress_skb() модуля drivers/net/ppp/ppp_generic.c ядра операционной системы Linux отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: properly unshare skbs in ax25_kiss_rcv() Bernard Pidoux reported a regression apparently caused by commit c353e8983e0d ("net: introduce per netns packet chains"). skb->dev becomes NULL and we crash in __netif_receive_skb_core(). Before above commit, different kind of bugs or corruptions could happen without a major crash. But the root cause is that ax25_kiss_rcv() can queue/mangle input skb without checking if this skb is shared or not. Many thanks to Bernard Pidoux for his help, diagnosis and tests. We had a similar issue years ago fixed with commit 7aaed57c5c28 ("phonet: properly unshare skbs in phonet_rcv()"). Уязвимость функции ax25_kiss_rcv() модуля ax25_kiss_rcv ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: sme: cap SSID length in __cfg80211_connect_result() If the ssid->datalen is more than IEEE80211_MAX_SSID_LEN (32) it would lead to memory corruption so add some bounds checking. Уязвимость функции SSID в __cfg80211_connect_result() модуля net/wireless/sme.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: Fix potential invalid access when MAC list is empty list_first_entry() never returns NULL - if the list is empty, it still returns a pointer to an invalid object, leading to potential invalid memory access when dereferenced. Fix this by using list_first_entry_or_null instead of list_first_entry. Уязвимость функции list_first_entry() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix one NULL pointer dereference in smc_ib_is_sg_need_sync() BUG: kernel NULL pointer dereference, address: 00000000000002ec PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP PTI CPU: 28 UID: 0 PID: 343 Comm: kworker/28:1 Kdump: loaded Tainted: G OE 6.17.0-rc2+ #9 NONE Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 Workqueue: smc_hs_wq smc_listen_work [smc] RIP: 0010:smc_ib_is_sg_need_sync+0x9e/0xd0 [smc] ... Call Trace: <TASK> smcr_buf_map_link+0x211/0x2a0 [smc] __smc_buf_create+0x522/0x970 [smc] smc_buf_create+0x3a/0x110 [smc] smc_find_rdma_v2_device_serv+0x18f/0x240 [smc] ? smc_vlan_by_tcpsk+0x7e/0xe0 [smc] smc_listen_find_device+0x1dd/0x2b0 [smc] smc_listen_work+0x30f/0x580 [smc] process_one_work+0x18c/0x340 worker_thread+0x242/0x360 kthread+0xe7/0x220 ret_from_fork+0x13a/0x160 ret_from_fork_asm+0x1a/0x30 </TASK> If the software RoCE device is used, ibdev->dma_device is a null pointer. As a result, the problem occurs. Null pointer detection is added to prevent problems. Уязвимость функции smc_ib_is_sg_need_sync() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix use-after-free in l2cap_sock_cleanup_listen() syzbot reported the splat below without a repro. In the splat, a single thread calling bt_accept_dequeue() freed sk and touched it after that. The root cause would be the racy l2cap_sock_cleanup_listen() call added by the cited commit. bt_accept_dequeue() is called under lock_sock() except for l2cap_sock_release(). Two threads could see the same socket during the list iteration in bt_accept_dequeue(): CPU1 CPU2 (close()) ---- ---- sock_hold(sk) sock_hold(sk); lock_sock(sk) <-- block close() sock_put(sk) bt_accept_unlink(sk) sock_put(sk) <-- refcnt by bt_accept_enqueue() release_sock(sk) lock_sock(sk) sock_put(sk) bt_accept_unlink(sk) sock_put(sk) <-- last refcnt bt_accept_unlink(sk) <-- UAF Depending on the timing, the other thread could show up in the "Freed by task" part. Let's call l2cap_sock_cleanup_listen() under lock_sock() in l2cap_sock_release(). [0]: BUG: KASAN: slab-use-after-free in debug_spin_lock_before kernel/locking/spinlock_debug.c:86 [inline] BUG: KASAN: slab-use-after-free in do_raw_spin_lock+0x26f/0x2b0 kernel/locking/spinlock_debug.c:115 Read of size 4 at addr ffff88803b7eb1c4 by task syz.5.3276/16995 CPU: 3 UID: 0 PID: 16995 Comm: syz.5.3276 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcd/0x630 mm/kasan/report.c:482 kasan_report+0xe0/0x110 mm/kasan/report.c:595 debug_spin_lock_before kernel/locking/spinlock_debug.c:86 [inline] do_raw_spin_lock+0x26f/0x2b0 kernel/locking/spinlock_debug.c:115 spin_lock_bh include/linux/spinlock.h:356 [inline] release_sock+0x21/0x220 net/core/sock.c:3746 bt_accept_dequeue+0x505/0x600 net/bluetooth/af_bluetooth.c:312 l2cap_sock_cleanup_listen+0x5c/0x2a0 net/bluetooth/l2cap_sock.c:1451 l2cap_sock_release+0x5c/0x210 net/bluetooth/l2cap_sock.c:1425 __sock_release+0xb3/0x270 net/socket.c:649 sock_close+0x1c/0x30 net/socket.c:1439 __fput+0x3ff/0xb70 fs/file_table.c:468 task_work_run+0x14d/0x240 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xeb/0x110 kernel/entry/common.c:43 exit_to_user_mode_prepare include/linux/irq-entry-common.h:225 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:175 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:210 [inline] do_syscall_64+0x3f6/0x4c0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f2accf8ebe9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffdb6cb1378 EFLAGS: 00000246 ORIG_RAX: 00000000000001b4 RAX: 0000000000000000 RBX: 00000000000426fb RCX: 00007f2accf8ebe9 RDX: 0000000000000000 RSI: 000000000000001e RDI: 0000000000000003 RBP: 00007f2acd1b7da0 R08: 0000000000000001 R09: 00000012b6cb166f R10: 0000001b30e20000 R11: 0000000000000246 R12: 00007f2acd1b609c R13: 00007f2acd1b6090 R14: ffffffffffffffff R15: 00007ffdb6cb1490 </TASK> Allocated by task 5326: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:388 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:405 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4365 [inline] __kmalloc_nopro ---truncated--- Уязвимость функции l2cap_sock_cleanup_listen() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: fix use-after-free in cmp_bss() Following bss_free() quirk introduced in commit 776b3580178f ("cfg80211: track hidden SSID networks properly"), adjust cfg80211_update_known_bss() to free the last beacon frame elements only if they're not shared via the corresponding 'hidden_beacon_bss' pointer. Уязвимость функции cmp_bss() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tee: fix NULL pointer dereference in tee_shm_put tee_shm_put have NULL pointer dereference: __optee_disable_shm_cache --> shm = reg_pair_to_ptr(...);//shm maybe return NULL tee_shm_free(shm); --> tee_shm_put(shm);//crash Add check in tee_shm_put to fix it. panic log: Unable to handle kernel paging request at virtual address 0000000000100cca Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=0000002049d07000 [0000000000100cca] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] SMP CPU: 2 PID: 14442 Comm: systemd-sleep Tainted: P OE ------- ---- 6.6.0-39-generic #38 Source Version: 938b255f6cb8817c95b0dd5c8c2944acfce94b07 Hardware name: greatwall GW-001Y1A-FTH, BIOS Great Wall BIOS V3.0 10/26/2022 pstate: 80000005 (Nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : tee_shm_put+0x24/0x188 lr : tee_shm_free+0x14/0x28 sp : ffff001f98f9faf0 x29: ffff001f98f9faf0 x28: ffff0020df543cc0 x27: 0000000000000000 x26: ffff001f811344a0 x25: ffff8000818dac00 x24: ffff800082d8d048 x23: ffff001f850fcd18 x22: 0000000000000001 x21: ffff001f98f9fb88 x20: ffff001f83e76218 x19: ffff001f83e761e0 x18: 000000000000ffff x17: 303a30303a303030 x16: 0000000000000000 x15: 0000000000000003 x14: 0000000000000001 x13: 0000000000000000 x12: 0101010101010101 x11: 0000000000000001 x10: 0000000000000001 x9 : ffff800080e08d0c x8 : ffff001f98f9fb88 x7 : 0000000000000000 x6 : 0000000000000000 x5 : 0000000000000000 x4 : 0000000000000000 x3 : 0000000000000000 x2 : ffff001f83e761e0 x1 : 00000000ffff001f x0 : 0000000000100cca Call trace: tee_shm_put+0x24/0x188 tee_shm_free+0x14/0x28 __optee_disable_shm_cache+0xa8/0x108 optee_shutdown+0x28/0x38 platform_shutdown+0x28/0x40 device_shutdown+0x144/0x2b0 kernel_power_off+0x3c/0x80 hibernate+0x35c/0x388 state_store+0x64/0x80 kobj_attr_store+0x14/0x28 sysfs_kf_write+0x48/0x60 kernfs_fop_write_iter+0x128/0x1c0 vfs_write+0x270/0x370 ksys_write+0x6c/0x100 __arm64_sys_write+0x20/0x30 invoke_syscall+0x4c/0x120 el0_svc_common.constprop.0+0x44/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x24/0x88 el0t_64_sync_handler+0x134/0x150 el0t_64_sync+0x14c/0x15 Уязвимость функции tee_shm_put() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: writeback: fix use-after-free in __mark_inode_dirty() An use-after-free issue occurred when __mark_inode_dirty() get the bdi_writeback that was in the progress of switching. CPU: 1 PID: 562 Comm: systemd-random- Not tainted 6.6.56-gb4403bd46a8e #1 ...... pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __mark_inode_dirty+0x124/0x418 lr : __mark_inode_dirty+0x118/0x418 sp : ffffffc08c9dbbc0 ........ Call trace: __mark_inode_dirty+0x124/0x418 generic_update_time+0x4c/0x60 file_modified+0xcc/0xd0 ext4_buffered_write_iter+0x58/0x124 ext4_file_write_iter+0x54/0x704 vfs_write+0x1c0/0x308 ksys_write+0x74/0x10c __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x114 el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x40/0xe4 el0t_64_sync_handler+0x120/0x12c el0t_64_sync+0x194/0x198 Root cause is: systemd-random-seed kworker ---------------------------------------------------------------------- ___mark_inode_dirty inode_switch_wbs_work_fn spin_lock(&inode->i_lock); inode_attach_wb locked_inode_to_wb_and_lock_list get inode->i_wb spin_unlock(&inode->i_lock); spin_lock(&wb->list_lock) spin_lock(&inode->i_lock) inode_io_list_move_locked spin_unlock(&wb->list_lock) spin_unlock(&inode->i_lock) spin_lock(&old_wb->list_lock) inode_do_switch_wbs spin_lock(&inode->i_lock) inode->i_wb = new_wb spin_unlock(&inode->i_lock) spin_unlock(&old_wb->list_lock) wb_put_many(old_wb, nr_switched) cgwb_release old wb released wb_wakeup_delayed() accesses wb, then trigger the use-after-free issue Fix this race condition by holding inode spinlock until wb_wakeup_delayed() finished. Уязвимость компонента fs/fs-writeback.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - не использовать недоверенные сторонние модули ядра; - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: l2cap: Check encryption key size on incoming connection This is required for passing GAP/SEC/SEM/BI-04-C PTS test case: Security Mode 4 Level 4, Responder - Invalid Encryption Key Size - 128 bit This tests the security key with size from 1 to 15 bytes while the Security Mode 4 Level 4 requests 16 bytes key size. Currently PTS fails with the following logs: - expected:Connection Response: Code: [3 (0x03)] Code Identifier: (lt)WildCard: Exists(gt) Length: [8 (0x0008)] Destination CID: (lt)WildCard: Exists(gt) Source CID: [64 (0x0040)] Result: [3 (0x0003)] Connection refused - Security block Status: (lt)WildCard: Exists(gt), but received:Connection Response: Code: [3 (0x03)] Code Identifier: [1 (0x01)] Length: [8 (0x0008)] Destination CID: [64 (0x0040)] Source CID: [64 (0x0040)] Result: [0 (0x0000)] Connection Successful Status: [0 (0x0000)] No further information available And HCI logs: < HCI Command: Read Encrypti.. (0x05|0x0008) plen 2 Handle: 14 Address: 00:1B:DC:F2:24:10 (Vencer Co., Ltd.) > HCI Event: Command Complete (0x0e) plen 7 Read Encryption Key Size (0x05|0x0008) ncmd 1 Status: Success (0x00) Handle: 14 Address: 00:1B:DC:F2:24:10 (Vencer Co., Ltd.) Key size: 7 > ACL Data RX: Handle 14 flags 0x02 dlen 12 L2CAP: Connection Request (0x02) ident 1 len 4 PSM: 4097 (0x1001) Source CID: 64 < ACL Data TX: Handle 14 flags 0x00 dlen 16 L2CAP: Connection Response (0x03) ident 1 len 8 Destination CID: 64 Source CID: 64 Result: Connection successful (0x0000) Status: No further information available (0x0000) Уязвимость функции l2cap_connect() модуля net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с недостаточно стойким шифрованием данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-326'), NistCWE(cwe='CWE-326')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mwifiex: Initialize the chan_stats array to zero The adapter->chan_stats[] array is initialized in mwifiex_init_channel_scan_gap() with vmalloc(), which doesn't zero out memory. The array is filled in mwifiex_update_chan_statistics() and then the user can query the data in mwifiex_cfg80211_dump_survey(). There are two potential issues here. What if the user calls mwifiex_cfg80211_dump_survey() before the data has been filled in. Also the mwifiex_update_chan_statistics() function doesn't necessarily initialize the whole array. Since the array was not initialized at the start that could result in an information leak. Also this array is pretty small. It's a maximum of 900 bytes so it's more appropriate to use kcalloc() instead vmalloc(). Уязвимость модуля wifi ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: br_netfilter: do not check confirmed bit in br_nf_local_in() after confirm When send a broadcast packet to a tap device, which was added to a bridge, br_nf_local_in() is called to confirm the conntrack. If another conntrack with the same hash value is added to the hash table, which can be triggered by a normal packet to a non-bridge device, the below warning may happen. ------------[ cut here ]------------ WARNING: CPU: 1 PID: 96 at net/bridge/br_netfilter_hooks.c:632 br_nf_local_in+0x168/0x200 CPU: 1 UID: 0 PID: 96 Comm: tap_send Not tainted 6.17.0-rc2-dirty #44 PREEMPT(voluntary) RIP: 0010:br_nf_local_in+0x168/0x200 Call Trace: <TASK> nf_hook_slow+0x3e/0xf0 br_pass_frame_up+0x103/0x180 br_handle_frame_finish+0x2de/0x5b0 br_nf_hook_thresh+0xc0/0x120 br_nf_pre_routing_finish+0x168/0x3a0 br_nf_pre_routing+0x237/0x5e0 br_handle_frame+0x1ec/0x3c0 __netif_receive_skb_core+0x225/0x1210 __netif_receive_skb_one_core+0x37/0xa0 netif_receive_skb+0x36/0x160 tun_get_user+0xa54/0x10c0 tun_chr_write_iter+0x65/0xb0 vfs_write+0x305/0x410 ksys_write+0x60/0xd0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> ---[ end trace 0000000000000000 ]--- To solve the hash conflict, nf_ct_resolve_clash() try to merge the conntracks, and update skb->_nfct. However, br_nf_local_in() still use the old ct from local variable 'nfct' after confirm(), which leads to this warning. If confirm() does not insert the conntrack entry and return NF_DROP, the warning may also occur. There is no need to reserve the WARN_ON_ONCE, just remove it. Уязвимость компонента netfilter ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/slub: avoid accessing metadata when pointer is invalid in object_err() object_err() reports details of an object for further debugging, such as the freelist pointer, redzone, etc. However, if the pointer is invalid, attempting to access object metadata can lead to a crash since it does not point to a valid object. One known path to the crash is when alloc_consistency_checks() determines the pointer to the allocated object is invalid because of a freelist corruption, and calls object_err() to report it. The debug code should report and handle the corruption gracefully and not crash in the process. In case the pointer is NULL or check_valid_pointer() returns false for the pointer, only print the pointer value and skip accessing metadata. Уязвимость компонента slub.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pcmcia: Add error handling for add_interval() in do_validate_mem() In the do_validate_mem(), the call to add_interval() does not handle errors. If kmalloc() fails in add_interval(), it could result in a null pointer being inserted into the linked list, leading to illegal memory access when sub_interval() is called next. This patch adds an error handling for the add_interval(). If add_interval() returns an error, the function will return early with the error code. Уязвимость функции do_validate_mem() компонента rsrc_nonstatic.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: make sure to abort the stream if headers are bogus Normally we wait for the socket to buffer up the whole record before we service it. If the socket has a tiny buffer, however, we read out the data sooner, to prevent connection stalls. Make sure that we abort the connection when we find out late that the record is actually invalid. Retrying the parsing is fine in itself but since we copy some more data each time before we parse we can overflow the allocated skb space. Constructing a scenario in which we're under pressure without enough data in the socket to parse the length upfront is quite hard. syzbot figured out a way to do this by serving us the header in small OOB sends, and then filling in the recvbuf with a large normal send. Make sure that tls_rx_msg_size() aborts strp, if we reach an invalid record there's really no way to recover. Уязвимость функции tls_rx_msg_size() компонента tls ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tls ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/vmscape: Add conditional IBPB mitigation VMSCAPE is a vulnerability that exploits insufficient branch predictor isolation between a guest and a userspace hypervisor (like QEMU). Existing mitigations already protect kernel/KVM from a malicious guest. Userspace can additionally be protected by flushing the branch predictors after a VMexit. Since it is the userspace that consumes the poisoned branch predictors, conditionally issue an IBPB after a VMexit and before returning to userspace. Workloads that frequently switch between hypervisor and userspace will incur the most overhead from the new IBPB. This new IBPB is not integrated with the existing IBPB sites. For instance, a task can use the existing speculation control prctl() to get an IBPB at context switch time. With this implementation, the IBPB is doubled up: one at context switch and another before running userspace. The intent is to integrate and optimize these cases post-embargo. [ dhansen: elaborate on suboptimal IBPB solution ] Уязвимость компонента arch/x86 ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Для нейтрализации уязвимости воспользуйтесь одним из следующих способов: 1. Отключить поддержку виртуализации (KVM) в системе, если она не используется. Для этого необходимо выполнить действия, описанные ниже. 1.1. Чтобы проверить, загружен ли модуль kvm в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep kvm ``` или ``` kmod list | grep kvm ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 1.2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod kvm ``` 1.3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 1.4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install kvm /bin/true ``` 1.5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 1.6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). 2. Соблюдайте следующие рекомендации: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам Astra Linux 3.8 perl Perl threads have a working directory race condition where file operations may target unintended paths. If a directory handle is open at thread creation, the process-wide current working directory is temporarily changed in order to clone that handle for the new thread, which is visible from any third (or more) thread already running. This may lead to unintended operations such as loading code or accessing files from unexpected locations, which a local attacker may be able to exploit. The bug was introduced in commit 11a11ecf4bea72b17d250cfb43c897be1341861e and released in Perl version 5.13.6 Уязвимость интерпретатора языка программирования Perl связана с использованием ненадёжного пути поиска. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-426')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.9) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 glib2.0 A flaw was found in GLib, which is vulnerable to an integer overflow in the g_string_insert_unichar() function. When the position at which to insert the character is large, the position will overflow, leading to a buffer underwrite. Уязвимость функции g_string_insert_unichar() набора библиотек GLib связана с нарушением начальной границы буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L', score=4.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 ruby3.1 Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5, there is a possibility for denial of service by memory exhaustion when net-imap reads server responses. At any time while the client is connected, a malicious server can send can send a "literal" byte count, which is automatically read by the client's receiver thread. The response reader immediately allocates memory for the number of bytes indicated by the server response. This should not be an issue when securely connecting to trusted IMAP servers that are well-behaved. It can affect insecure connections and buggy, untrusted, or compromised servers (for example, connecting to a user supplied hostname). This issue has been patched in versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5. Уязвимость модуля Net::IMAP языка программирования Ruby связана с неконтролируемым распределением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python-h11 h11 is a Python implementation of HTTP/1.1. Prior to version 0.16.0, a leniency in h11's parsing of line terminators in chunked-coding message bodies can lead to request smuggling vulnerabilities under certain conditions. This issue has been patched in version 0.16.0. Since exploitation requires the combination of buggy h11 with a buggy (reverse) proxy, fixing either component is sufficient to mitigate this issue. Уязвимость компонента _readers.py библиотеки Python H11 связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Astra Linux 3.8 freeipa A privilege escalation from host to domain vulnerability was found in the FreeIPA project. The FreeIPA package fails to validate the uniqueness of the `krbCanonicalName` for the admin account by default, allowing users to create services with the same canonical name as the REALM admin. When a successful attack happens, the user can retrieve a Kerberos ticket in the name of this service, containing the admin@REALM credential. This flaw allows an attacker to perform administrative tasks over the REALM, leading to access to sensitive data and sensitive data exfiltration. Уязвимость централизованной системы по управлению идентификацией пользователей FreeIPA связана с неправильным контролем доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии до уровня администратора домена и оказать воздействие на конфиденциальность целостность и доступость защищаемой информации с помощью специально сформированной службы [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=9.1) Включить обязательное использование PAC на всех серверах, управляющих доступом к протоколу аутентификации Kerberos. Затем необходимо присвоить атрибуту krbCanonicalName, относящемуся к учетной записи администратора, имя admin@REALM.LOCAL. Оно будет использоваться системой, чтобы корректно идентифицировать пользователя с повышенными привилегиями. Astra Linux 3.8 python3.11 There is an issue in CPython when using `bytes.decode("unicode_escape", error="ignore|replace")`. If you are not using the "unicode_escape" encoding or an error handler your usage is not affected. To work-around this issue you may stop using the error= handler and instead wrap the bytes.decode() call in a try-except catching the DecodeError. Уязвимость функции bytes.decode() интерпретатора языка программирования Python (CPython) связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-416')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 systemd A vulnerability was found in systemd-coredump. This flaw allows an attacker to force a SUID process to crash and replace it with a non-SUID binary to access the original's privileged process coredump, allowing the attacker to read sensitive data, such as /etc/shadow content, loaded by the original process. A SUID binary or process has a special type of permission, which allows the process to run with the file owner's permissions, regardless of the user executing the binary. This allows the process to access more restricted data than unprivileged users or processes would be able to. An attacker can leverage this flaw by forcing a SUID process to crash and force the Linux kernel to recycle the process PID before systemd-coredump can analyze the /proc/pid/auxv file. If the attacker wins the race condition, they gain access to the original's SUID process coredump file. They can read sensitive content loaded into memory by the original binary, affecting data confidentiality. Уязвимость службы systemd-coredump демона Systemd связана с неправильной настройкой ядра fs.suid_dumpable. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-364')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=4.7) Используя полномочия администратора системы с высоким уровнем целостности отключите возможность системы генерировать coredump для SUID-бинарных файлов. Для этого можно запустить следующую команду: ``` echo 0 > /proc/sys/fs/suid_dumpable ``` Дополнительно также рекомендуется выполнить следующее: - Обеспечить возможность использования только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Установить "взломостойкий" пароль Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. Prior to versions 2.2.14, 3.0.16, and 3.1.14, `Rack::QueryParser` parses query strings and `application/x-www-form-urlencoded` bodies into Ruby data structures without imposing any limit on the number of parameters, allowing attackers to send requests with extremely large numbers of parameters. The vulnerability arises because `Rack::QueryParser` iterates over each `&`-separated key-value pair and adds it to a Hash without enforcing an upper bound on the total number of parameters. This allows an attacker to send a single request containing hundreds of thousands (or more) of parameters, which consumes excessive memory and CPU during parsing. An attacker can trigger denial of service by sending specifically crafted HTTP requests, which can cause memory exhaustion or pin CPU resources, stalling or crashing the Rack server. This results in full service disruption until the affected worker is restarted. Versions 2.2.14, 3.0.16, and 3.1.14 fix the issue. Some other mitigations are available. One may use middleware to enforce a maximum query string size or parameter count, or employ a reverse proxy (such as Nginx) to limit request sizes and reject oversized query strings or bodies. Limiting request body sizes and query string lengths at the web server or CDN level is an effective mitigation. Уязвимость модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ruby-rack: - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 3.8 net-tools net-tools is a collection of programs that form the base set of the NET-3 networking distribution for the Linux operating system. Inn versions up to and including 2.10, the Linux network utilities (like ifconfig) from the net-tools package do not properly validate the structure of /proc files when showing interfaces. `get_name()` in `interface.c` copies interface labels from `/proc/net/dev` into a fixed 16-byte stack buffer without bounds checking, leading to possible arbitrary code execution or crash. The known attack path does not require privilege but also does not provide privilege escalation in this scenario. A patch is available and expected to be part of version 2.20. Уязвимость функции get_name() компонента interface.c набора утилит для работы с сетью Net Tools Suite связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H', score=6.6) Astra Linux 3.8 setuptools setuptools is a package that allows users to download, build, install, upgrade, and uninstall Python packages. A path traversal vulnerability in `PackageIndex` is present in setuptools prior to version 78.1.1. An attacker would be allowed to write files to arbitrary locations on the filesystem with the permissions of the process running the Python code, which could escalate to remote code execution depending on the context. Version 78.1.1 fixes the issue. Уязвимость библиотеки упрощения упаковки проектов setuptools связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, скомпрометировать уязвимую систему [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python-tornado Tornado is a Python web framework and asynchronous networking library. When Tornado's ``multipart/form-data`` parser encounters certain errors, it logs a warning but continues trying to parse the remainder of the data. This allows remote attackers to generate an extremely high volume of logs, constituting a DoS attack. This DoS is compounded by the fact that the logging subsystem is synchronous. All versions of Tornado prior to 6.5.0 are affected. The vulnerable parser is enabled by default. Upgrade to Tornado version 6.50 to receive a patch. As a workaround, risk can be mitigated by blocking `Content-Type: multipart/form-data` in a proxy. Уязвимость компонента multipart/form-data веб-фреймворка и асинхронной сетевой библиотеки Tornado связана с использованием неверных токенов аутентификации в результате неограниченного распределения ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для нейтрализации уязвимости можно воспользоваться одним из следующих способов: 1. Удалить python-tornado, если оно не используется и не является зависисмостью для других используемых приложений 2. Заблокировать запросы с Content-Type: multipart/form-data на уровне прокси-сервера 3. Выполнить следующие настройки: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 3.8 glibc Untrusted LD_LIBRARY_PATH environment variable vulnerability in the GNU C Library version 2.27 to 2.38 allows attacker controlled loading of dynamically shared library in statically compiled setuid binaries that call dlopen (including internal dlopen calls after setlocale or calls to NSS functions such as getaddrinfo). Уязвимость системной библиотеки GNU C Library связана с ненадежным путем поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-426')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) glibc: - Выполнять регламентный контроль целостности системы для избежания запуска недоверенных программ - При использовании ПО glibc выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 jq jq is a command-line JSON processor. In versions up to and including 1.7.1, a heap-buffer-overflow is present in function `jv_string_vfmt` in the jq_fuzz_execute harness from oss-fuzz. This crash happens on file jv.c, line 1456 `void* p = malloc(sz);`. As of time of publication, no patched versions are available. Уязвимость функции jv_string_vfmt функционального языка программирования jq связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) jq: - Запускайте скрипты и команды, использующие jq, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется - Настройте права доступа к исполняемым файлам и скриптам, использующим jq, так, чтобы их могли изменять только администраторы системы - Не обрабатывайте ненадежные входные данные с помощью процессора JSON командной строки jq - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов jqueryui: - Удалить ПО jqueryui, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки jqueryui - В случае использования библиотеки jqueryui избегать взаимодействия с неизвестными и подозрительными источниками - Запускать ПО, использующее библиотеку jqueryui, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку jqueryui, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 3.8 xorg-server A flaw was found in the X Rendering extension's handling of animated cursors. If a client provides no cursors, the server assumes at least one is present, leading to an out-of-bounds read and potential crash. Уязвимость расширения X Rendering реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H', score=6.1) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the Big Requests extension. The request length is multiplied by 4 before checking against the maximum allowed size, potentially causing an integer overflow and bypassing the size check. Уязвимость расширения Big Requests реализации протокола Wayland для X.Org XWayland и реализации сервера X Window System X.Org Server связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the XFIXES extension. The XFixesSetClientDisconnectMode handler does not validate the request length, allowing a client to read unintended memory from previous requests. Уязвимость расширения XFIXES реализации протокола Wayland для X.Org XWaylan и реализации сервера X Window System X.Org Server связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L', score=6.1) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the X server's request handling. Non-zero 'bytes to ignore' in a client's request can cause the server to skip processing another client's request, potentially leading to a denial of service. Уязвимость функции ReadRequestFromClient компонента os/io.c реализации протокола Wayland для X.Org XWayland и реализации сервера X Window System X.Org Server связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the X Record extension. The RecordSanityCheckRegisterClients function does not check for an integer overflow when computing request length, which allows a client to bypass length checks. Уязвимость функции RecordSanityCheckRegisterClients() сервера X Window System Xorg-server связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the RandR extension, where the RRChangeProviderProperty function does not properly validate input. This issue leads to an integer overflow when computing the total size to allocate. Уязвимость функции RRChangeProviderProperty() сервера X Window System Xorg-server связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 apache2 In certain proxy configurations, a denial of service attack against Apache HTTP Server versions 2.4.26 through to 2.4.63 can be triggered by untrusted clients causing an assertion in mod_proxy_http2. Configurations affected are a reverse proxy is configured for an HTTP/2 backend, with ProxyPreserveHost set to "on". Уязвимость функции mod_proxy_http2 веб-сервера Apache HTTP Server связана с использованием функции assert() или похожего оператора. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Уязвимость возможно реализовать сервер работает в конфигурации обратного прокси с HTTP/2 backend и включенной директивой `ProxyPreserveHost on`. Чтобы изменить конфигурацию Apache: - откройте файл `/etc/apache2/apache2.conf` или `/etc/httpd/conf/httpd.conf` - закоментрийте строку `ProxyPreserveHost on` или замените на `ProxyPreserveHost off` - перезапустите сервер `sudo systemctl restart apache2` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache Astra Linux 3.8 libxml2 A use-after-free vulnerability was found in libxml2. This issue occurs when parsing XPath elements under certain circumstances when the XML schematron has the <sch:name path="..."/> schema elements. This flaw allows a malicious actor to craft a malicious XML document used as input for libxml, resulting in the program's crash using libxml or other possible undefined behaviors. Уязвимость функции xmlSchematronGetNode библиотеки Libxml2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libxml2 A vulnerability was found in libxml2. Processing certain sch:name elements from the input XML file can trigger a memory corruption issue. This flaw allows an attacker to craft a malicious XML input file that can lead libxml to crash, resulting in a denial of service or other possible undefined behavior due to sensitive data being corrupted in memory. Уязвимость функции xmlSchematronFormatReport() библиотеки libxml2 связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного XML файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 mtr mtr through 0.95, in certain privileged contexts, mishandles execution of a program specified by the MTR_PACKET environment variable. NOTE: mtr on macOS may often have Sudo rules, as an indirect consequence of Homebrew not installing setuid binaries. Уязвимость утилиты диагностики и мониторинга сети MTR связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) Astra Linux 3.8 apache2 In some mod_ssl configurations on Apache HTTP Server versions through to 2.4.63, an HTTP desynchronisation attack allows a man-in-the-middle attacker to hijack an HTTP session via a TLS upgrade. Only configurations using "SSLEngine optional" to enable TLS upgrades are affected. Users are recommended to upgrade to version 2.4.64, which removes support for TLS upgrade. Уязвимость функции mod_ssl веб-сервера Apache HTTP Server связана с недостатками процедуры аутентификации при обработке параметра SSLEngine optional. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании c помощью протокола TLS [NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) - Уязвимость возможно реализовать только при конфигурации, использующей опцию `SSLEngine optional` для поддержки обновлений TLS. Чтобы изменить конфигурацию Apache: - откройте файл `/etc/apache2/apache2.conf` или `/etc/httpd/conf/httpd.conf` - замените в строке `SSLEngine on` "optional" на "on" или "off" - перезапустите сервер `sudo systemctl restart apache2` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache Astra Linux 3.8 sqlite3 Rejected reason: DO NOT USE THIS CVE RECORD. ConsultIDs: CVE-2025-29088. Reason: This record is a duplicate of CVE-2025-29088. Notes: All CVE users should reference CVE-2025-29088 instead of this record. All references and descriptions in this record have been removed to prevent accidental usage. Уязвимость функции setupLookaside() системы управления базами данных SQLite связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None sqlite3: - Запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО sqlite3 в пользу ПО postgresql Astra Linux 3.8 icu A stack buffer overflow was found in Internationl components for unicode (ICU ). While running the genrb binary, the 'subtag' struct overflowed at the SRBRoot::addTag function. This issue may lead to memory corruption and local arbitrary code execution. Уязвимость функции SRBRoot::addTag() библиотеки для работы с Unicode (ICU) связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить нарушителю выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) icu: - Включить защиту файловой системы ("установить МКЦ на ФС"). - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Обеспечить возможность запуска ПО только доверенными пользователями ОС. - Включить режим замкнутой программной сред. - Запретить установку бита исполнения для всех пользователей, включая администраторов. - Обеспечить запуск ПО в изолированной программной среде с применением инструмента Firejail. Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils up to 2.44. It has been rated as critical. Affected by this issue is the function elf_gc_sweep of the file bfd/elflink.c of the component ld. The manipulation leads to memory corruption. An attack has to be approached locally. The exploit has been disclosed to the public and may be used. Upgrading to version 2.45 is able to address this issue. It is recommended to upgrade the affected component. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability classified as critical has been found in GNU Binutils up to 2.44. This affects the function debug_type_samep of the file /binutils/debug.c of the component objdump. The manipulation leads to memory corruption. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. It is recommended to apply a patch to fix this issue. Уязвимость компонента debug.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Ограничить доступ к использованию команды objdump - При использовании команды objdump выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 apache2 Late Release of Memory after Effective Lifetime vulnerability in Apache HTTP Server. This issue affects Apache HTTP Server: from 2.4.17 up to 2.4.63. Users are recommended to upgrade to version 2.4.64, which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности `mod_security` и `mod_evasive` - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускать Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничить размер принимаемых запросов - Настроить брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключения доверенных пользователей к ПО apache2 Astra Linux 3.8 vim Vim is an open source, command line text editor. Prior to version 9.1.1552, a path traversal issue in Vim’s tar.vim plugin can allow overwriting of arbitrary files when opening specially crafted tar archives. Impact is low because this exploit requires direct user interaction. However, successfully exploitation can lead to overwriting sensitive files or placing executable code in privileged locations, depending on the permissions of the process editing the archive. The victim must edit such a file using Vim which will reveal the filename and the file content, a careful user may suspect some strange things going on. Successful exploitation could results in the ability to execute arbitrary commands on the underlying operating system. Version 9.1.1552 contains a patch for the vulnerability. Уязвимость текстового редактора vim связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:L', score=4.1) - При использовании ПО vim выполнять обработку файлов, в частности, tar-архивов, полученных только из доверенных источников - Использовать ПО vim только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО vim в пользу ПО nano Astra Linux 3.8 vim Vim is an open source, command line text editor. Prior to version 9.1.1551, a path traversal issue in Vim’s zip.vim plugin can allow overwriting of arbitrary files when opening specially crafted zip archives. Impact is low because this exploit requires direct user interaction. However, successfully exploitation can lead to overwriting sensitive files or placing executable code in privileged locations, depending on the permissions of the process editing the archive. The victim must edit such a file using Vim which will reveal the filename and the file content, a careful user may suspect some strange things going on. Successful exploitation could results in the ability to execute arbitrary commands on the underlying operating system. Version 9.1.1551 contains a patch for the vulnerability. Уязвимость текстового редактора vim связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:L', score=4.1) - При использовании ПО vim выполнять обработку файлов, в частности, zip-архивов, полученных только из доверенных источников - Использовать ПО vim только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО vim в пользу ПО nano Astra Linux 3.8 p7zip, 7zip 7-Zip before 25.01 does not always properly handle symbolic links during extraction. Уязвимость файлового архиватора 7-Zip связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю обойти ограничения безопасности [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=3.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 libarchive A vulnerability has been identified in the libarchive library. This flaw can be triggered when file streams are piped into bsdtar, potentially allowing for reading past the end of the file. This out-of-bounds read can lead to unintended consequences, including unpredictable program behavior, memory corruption, or a denial-of-service condition. Уязвимость библиотеки Libarchive операционной системы Windows связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:L', score=3.9) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 3.8 libblockdev A Local Privilege Escalation (LPE) vulnerability was found in libblockdev. Generally, the "allow_active" setting in Polkit permits a physically present user to take certain actions based on the session type. Due to the way libblockdev interacts with the udisks daemon, an "allow_active" user on a system may be able escalate to full root privileges on the target host. Normally, udisks mounts user-provided filesystem images with security flags like nosuid and nodev to prevent privilege escalation. However, a local attacker can create a specially crafted XFS image containing a SUID-root shell, then trick udisks into resizing it. This mounts their malicious filesystem with root privileges, allowing them to execute their SUID-root shell and gain complete control of the system. Уязвимость библиотеки libblockdev связана с возможностью монтирования файловой системы и управлением накопителями в результате некорректного разграничения доступа при обращении к демону udisks. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root [NistCWE(cwe='CWE-250')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Для нейтрализации уязвимости CVE-2025-6019 необходимо изменить правило доступа к операции "org.freedesktop.udisks2.modify-device" в polkit: 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора откройте файл /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy 2. Найдите раздел с описанием операции org.freedesktop.udisks2.modify-device: ```xml <action id="org.freedesktop.udisks2.modify-device"> <description>...</description> ... <description>...</description> <message>...</message> ... <message>...</message> <defaults> <allow_any>auth_admin</allow_any> <allow_inactive>auth_admin</allow_inactive> <allow_active>yes</allow_active> </defaults> </action> ``` Если значение параметра "allow_active" - "yes", то измените его на "auth_admin": ```xml <action id="org.freedesktop.udisks2.modify-device"> <description>...</description> ... <description>...</description> <message>...</message> ... <message>...</message> <defaults> <allow_any>auth_admin</allow_any> <allow_inactive>auth_admin</allow_inactive> <allow_active>auth_admin</allow_active> </defaults> </action> ``` 3. Сохраните файл. 4. Перезапустите службу polkit: ``` sudo systemctl restart polkit ``` Astra Linux 3.8 libxml2 A flaw was found in libxml2's xmlBuildQName function, where integer overflows in buffer size calculations can lead to a stack-based buffer overflow. This issue can result in memory corruption or a denial of service when processing crafted input. Уязвимость функции xmlBuildQName библиотеки Libxml2 связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 The html.parser.HTMLParser class had worse-case quadratic complexity when processing certain crafted malformed inputs potentially leading to amplified denial-of-service. Уязвимость компонента html.parser.HTMLParser интерпретатора языка программирования Python связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=4.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssh ssh in OpenSSH before 10.1 allows control characters in usernames that originate from certain possibly untrusted sources, potentially leading to code execution when a ProxyCommand is used. The untrusted sources are the command line and %-sequence expansion of a configuration file. (A configuration file that provides a complete literal username is not categorized as an untrusted source.) Уязвимость компонента ssh средства криптографической защиты OpenSSH связана с некорректной обработкой специальных элементов. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-159')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=3.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо экранировать токены подстановки в директиве ProxyCommand для предотвращения внедрения управляющих символов и выполнения произвольного кода. Для этого выполните следующие инструкции: 1. Используя полномочия администратора системы с высоким уровнем целостности, откройте файлы ~/.ssh/config и /etc/ssh/sshd_config. 2. В файлах выполните поиск директивы ProxyCommand. 3. Экранируйте токены подстановки %r, %u, %l в одинарные кавычки: '%r', '%u', '%l'. 4. Перезапустите службу ssh: ``` sudo systemctl restart sshd ``` Astra Linux 3.8 openssh ssh in OpenSSH before 10.1 allows the '\0' character in an ssh:// URI, potentially leading to code execution when a ProxyCommand is used. Уязвимость компонента ProxyCommand средства криптографической защиты OpenSSH связана с внедрением нулевого байта (%00) в строку имени пользователя. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-158')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=3.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо запретить использование переменных подстановки в директиве ProxyCommand. Для этого выполните следующие инструкции: 1. Используя полномочия администратора системы с высоким уровнем целостности, откройте файлы ~/.ssh/config и /etc/ssh/sshd_config. 2. В файлах выполните поиск директивы ProxyCommand. 3. Удалите переменные подстановки, начинающиеся с %, например, %h, %p, %r, %n, %u, %l. 4. Перезапустите службу ssh: ``` sudo systemctl restart sshd ``` Astra Linux 3.8 dpkg It was discovered that dpkg-deb does not properly sanitize directory permissions when extracting a control member into a temporary directory, which is documented as being a safe operation even on untrusted data. This may result in leaving temporary files behind on cleanup. Given automated and repeated execution of dpkg-deb commands on adversarial .deb packages or with well compressible files, placed inside a directory with permissions not allowing removal by a non-root user, this can end up in a DoS scenario due to causing disk quota exhaustion or disk full conditions. Уязвимость менеджера пакетов Dpkg связана с небезопасными временными файлами. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N', score=8.2) - Обработка .deb пакетов с помощью dpkg-deb должна производиться только для пакетов из доверенных источников - Регулярно отслеживайте занятое место на разделах, где размещены временные директории - Запускайте все автоматические процессы, обрабатывающие .deb пакеты, от выделенного, изолированного системного пользователя с минимальными правами Astra Linux 3.8 gnutls28 A NULL pointer dereference flaw was found in the GnuTLS software in _gnutls_figure_common_ciphersuite(). Уязвимость функции _gnutls_figure_common_ciphersuite() библиотеки безопасности транспортного уровня GnuTLS связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 3.8 php8.2 In PHP versions:8.1.* before 8.1.33, 8.2.* before 8.2.29, 8.3.* before 8.3.23, 8.4.* before 8.4.10 when parsing XML data in SOAP extensions, overly large (>2Gb) XML namespace prefix may lead to null pointer dereference. This may lead to crashes and affect the availability of the target server. Уязвимость функции xmlNodeSetName() интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: potential integer overflow in usbg_make_tpg() The variable tpgt in usbg_make_tpg() is defined as unsigned long and is assigned to tpgt->tport_tpgt, which is defined as u16. This may cause an integer overflow when tpgt is greater than USHRT_MAX (65535). I haven't tried to trigger it myself, but it is possible to trigger it by calling usbg_make_tpg() with a large value for tpgt. I modified the type of tpgt to match tpgt->tport_tpgt and adjusted the relevant code accordingly. This patch is similar to commit 59c816c1f24d ("vhost/scsi: potential memory corruption"). Уязвимость функции usbg_make_tpg() модуля drivers/usb/gadget/function/f_tcm.c драйвера гаджетов USB ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 sqlite3 There exists a vulnerability in SQLite versions before 3.50.2 where the number of aggregate terms could exceed the number of columns available. This could lead to a memory corruption issue. We recommend upgrading to version 3.50.2 or above. Уязвимость компонента Aggregate Term Handler системы управления базами данных SQLite связана с ошибками числового усечения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность, целостность и доступность [NistCWE(cwe='CWE-197')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:H/A:L', score=7.7) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: - запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail; - отказаться от использования ПО sqlite3 в пользу ПО postgresql. Astra Linux 3.8 gdk-pixbuf A flaw exists in gdk‑pixbuf within the gdk_pixbuf__jpeg_image_load_increment function (io-jpeg.c) and in glib’s g_base64_encode_step (glib/gbase64.c). When processing maliciously crafted JPEG images, a heap buffer overflow can occur during Base64 encoding, allowing out-of-bounds reads from heap memory, potentially causing application crashes or arbitrary code execution. Уязвимость функции gdk_pixbuf__jpeg_image_load_increment компонента io-jpeg.c библиотеки загрузки изображений GdkPixbuf связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного JPEG изображения [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gdk-pixbuf: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с изображениями, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать приложения, использующие gdk-pixbuf, на низком уровне целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить права редактирования конфигурационных файлов gdk-pixbuf исключительно группе root. - Выполнять регламентный контроль целостности критических компонентов gdk-pixbuf в рамках замкнутой программной среды. Astra Linux 3.8 sqlite3 An integer overflow in the sqlite3KeyInfoFromExprList function in SQLite versions 3.39.2 through 3.41.1 allows an attacker with the ability to execute arbitrary SQL statements to cause a denial of service or disclose sensitive information from process memory via a crafted SELECT statement with a large number of expressions in the ORDER BY clause. Уязвимость функции sqlite3KeyInfoFromExprList системы управления базами данных SQLite связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) sqlite3: - Запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО sqlite3 в пользу ПО postgresql Astra Linux 3.8 freeipa A privilege escalation flaw from host to domain administrator was found in FreeIPA. This vulnerability is similar to CVE-2025-4404, where it fails to validate the uniqueness of the krbCanonicalName. While the previously released version added validations for the admin@REALM credential, FreeIPA still does not validate the root@REALM canonical name, which can also be used as the realm administrator's name. This flaw allows an attacker to perform administrative tasks over the REALM, leading to access to sensitive data and sensitive data exfiltration. Уязвимость сервера FreeIpa связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=9.1) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 binutils A vulnerability classified as problematic was found in GNU Binutils 2.45. Affected by this vulnerability is the function copy_section of the file binutils/objcopy.c. The manipulation leads to heap-based buffer overflow. Attacking locally is a requirement. The exploit has been disclosed to the public and may be used. The patch is named 08c3cbe5926e4d355b5cb70bbec2b1eeb40c2944. It is recommended to apply a patch to fix this issue. Уязвимость компонента binutils/objcopy.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации, нарушить её целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Ограничить доступ к использованию команды objcopy - При использовании команды objcopy выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability, which was classified as problematic, has been found in GNU Binutils 2.45. Affected by this issue is the function bfd_elf_set_group_contents of the file bfd/elf.c. The manipulation leads to out-of-bounds write. It is possible to launch the attack on the local host. The exploit has been disclosed to the public and may be used. The name of the patch is 41461010eb7c79fee7a9d5f6209accdaac66cc6b. It is recommended to apply a patch to fix this issue. Уязвимость компонента bfd/elf.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации, нарушить её целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Ограничить доступ к использованию команды objcopy - При использовании команды objcopy выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 udisks2 A flaw was found in the Udisks daemon, where it allows unprivileged users to create loop devices using the D-BUS system. This is achieved via the loop device handler, which handles requests sent through the D-BUS interface. As two of the parameters of this handle, it receives the file descriptor list and index specifying the file where the loop device should be backed. The function itself validates the index value to ensure it isn't bigger than the maximum value allowed. However, it fails to validate the lower bound, allowing the index parameter to be a negative value. Under these circumstances, an attacker can cause the UDisks daemon to crash or perform a local privilege escalation by gaining access to files owned by privileged users. Уязвимость программы для запросов и управления устройствами хранения Udisks связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H', score=8.5) udisks2: - Использовать ПО udisks2 только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО udisks2 только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 There is a defect in the CPython “tarfile” module affecting the “TarFile” extraction and entry enumeration APIs. The tar implementation would process tar archives with negative offsets without error, resulting in an infinite loop and deadlock during the parsing of maliciously crafted tar archives. This vulnerability can be mitigated by including the following patch after importing the “tarfile” module:  https://gist.github.com/sethmlarson/1716ac5b82b73dbcbf23ad2eff8b33e1 Уязвимость модуля tarfile интерпретатора языка программирования Python (CPython) связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных tar-архивов [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) После импортирования модуля tarfile добавлять следующие строки: ```python import tarfile def _block_patched(self, count): if count < 0: raise tarfile.InvalidHeaderError("invalid offset") return _block_patched._orig_block(self, count) _block_patched._orig_block = tarfile.TarInfo._block tarfile.TarInfo._block = _block_patched ``` Astra Linux 3.8 tiff A weakness has been identified in LibTIFF 4.7.0. This affects the function main of the file tiffcrop.c of the component tiffcrop. Executing manipulation can lead to memory corruption. The attack can only be executed locally. The exploit has been made available to the public and could be exploited. Уязвимость компонента tiffcrop библиотеки LibTIFF связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - отказаться от использования утилиты tiffcrop; - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - по возможности запускать прикладное ПО в отдельной сессии; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды. Astra Linux 3.8 tiff A flaw has been found in LibTIFF 4.7.0. This affects the function _TIFFmallocExt/_TIFFCheckRealloc/TIFFHashSetNew/InitCCITTFax3 of the file tools/tiffcmp.c of the component tiffcmp. Executing manipulation can lead to memory leak. The attack is restricted to local execution. This attack is characterized by high complexity. It is indicated that the exploitability is difficult. The exploit has been published and may be used. There is ongoing doubt regarding the real existence of this vulnerability. This patch is called ed141286a37f6e5ddafb5069347ff5d587e7a4e0. It is best practice to apply a patch to resolve this issue. A researcher disputes the security impact of this issue, because "this is a memory leak on a command line tool that is about to exit anyway". In the reply the project maintainer declares this issue as "a simple 'bug' when leaving the command line tool and (...) not a security issue at all". Уязвимость компонента tiffcmp библиотеки LibTIFF связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:L/AC:H/Au:S/C:N/I:N/A:P', score=1.0) NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=2.5) - отказаться от использования утилиты tiffcmp; - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - по возможности запускать прикладное ПО в отдельной сессии; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды. Astra Linux 3.8 openssl Issue summary: An application trying to decrypt CMS messages encrypted using password based encryption can trigger an out-of-bounds read and write. Impact summary: This out-of-bounds read may trigger a crash which leads to Denial of Service for an application. The out-of-bounds write can cause a memory corruption which can have various consequences including a Denial of Service or Execution of attacker-supplied code. Although the consequences of a successful exploit of this vulnerability could be severe, the probability that the attacker would be able to perform it is low. Besides, password based (PWRI) encryption support in CMS messages is very rarely used. For that reason the issue was assessed as Moderate severity according to our Security Policy. The FIPS modules in 3.5, 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected by this issue, as the CMS implementation is outside the OpenSSL FIPS module boundary. Уязвимость компонента FIPS Module криптографической библиотеки OpenSSL связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssl Issue summary: An application using the OpenSSL HTTP client API functions may trigger an out-of-bounds read if the 'no_proxy' environment variable is set and the host portion of the authority component of the HTTP URL is an IPv6 address. Impact summary: An out-of-bounds read can trigger a crash which leads to Denial of Service for an application. The OpenSSL HTTP client API functions can be used directly by applications but they are also used by the OCSP client functions and CMP (Certificate Management Protocol) client implementation in OpenSSL. However the URLs used by these implementations are unlikely to be controlled by an attacker. In this vulnerable code the out of bounds read can only trigger a crash. Furthermore the vulnerability requires an attacker-controlled URL to be passed from an application to the OpenSSL function and the user has to have a 'no_proxy' environment variable set. For the aforementioned reasons the issue was assessed as Low severity. The vulnerable code was introduced in the following patch releases: 3.0.16, 3.1.8, 3.2.4, 3.3.3, 3.4.0 and 3.5.0. The FIPS modules in 3.5, 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected by this issue, as the HTTP client implementation is outside the OpenSSL FIPS module boundary. Уязвимость компонента HTTP Client API криптографической библиотеки OpenSSL связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 samba A flaw was found in Samba, in the vfs_streams_xattr module, where uninitialized heap memory could be written into alternate data streams. This allows an authenticated user to read residual memory content that may include sensitive data, resulting in an information disclosure vulnerability. Уязвимость модуля vfs_streams_xattr пакета программ сетевого взаимодействия Samba связана с чтением за пределами допустимого диапазона. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) samba: - Убедитесь, что процессы Samba не работают от имени root - Обеспечьте доступ к Samba только авторизованным пользователям - Отключите все неиспользуемые службы - Настройте брандмауэр для ограничения доступа к портам Samba: ``` sudo ufw allow from YOUR_TRUSTED_IP to any port 445 sudo ufw allow from YOUR_TRUSTED_IP to any port 139 ``` - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Samba (/etc/samba/smb.conf): ``` [global] # Запретите доступ всем, кроме доверенных сетей hosts allow = YOUR_TRUSTED_IP # Отключите поддержку WINS wins support = no # Отключите гостевой доступ security = user map to guest = never smb encrypt = required # Включите детальное логирование в отдельный файл для каждого клиента log level = 1 log file = /var/log/samba/log.%m max log size = 1000 ``` Astra Linux 3.8 tiff A flaw was found in Libtiff. This vulnerability is a "write-what-where" condition, triggered when the library processes a specially crafted TIFF image file. By providing an abnormally large image height value in the file's metadata, an attacker can trick the library into writing attacker-controlled color data to an arbitrary memory location. This memory corruption can be exploited to cause a denial of service (application crash) or to achieve arbitrary code execution with the permissions of the user. Уязвимость библиотеки LibTIFF связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код на целевой системе [NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail Astra Linux 3.8 curl When an OAuth2 bearer token is used for an HTTP(S) transfer, and that transfer performs a redirect to a second URL, curl could leak that token to the second hostname under some circumstances. If the hostname that the first request is redirected to has information in the used .netrc file, with either of the `machine` or `default` keywords, curl would pass on the bearer token set for the first host also to the second one. Уязвимость программного средства для взаимодействия с серверами cURL связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) 1. Не вносить в .netrc недоверенные хосты. 2. В файле .netrc не использовать шаблоны и маски (например, machine *). 3. По возможности не использовать curl одновременно с флагом --location (-L) и Bearer-токеном. 4. Проводить периодический аудит всех записей в .netrc. Astra Linux 3.8 curl curl would wrongly reuse an existing HTTP proxy connection doing CONNECT to a server, even if the new request uses different credentials for the HTTP proxy. The proper behavior is to create or use a separate connection. Уязвимость программного средства для взаимодействия с серверами cURL связана с обходом аутентификации в силу исходной ошибки. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии [NistCWE(cwe='CWE-305')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 curl libcurl might in some circumstances reuse the wrong connection for SMB(S) transfers. libcurl features a pool of recent connections so that subsequent requests can reuse an existing connection to avoid overhead. When reusing a connection a range of criteria must be met. Due to a logical error in the code, a network transfer operation that was requested by an application could wrongfully reuse an existing SMB connection to the same server that was using a different 'share' than the new subsequent transfer should. This could in unlucky situations lead to the download of the wrong file or the upload of a file to the wrong place. When this happens, the same credentials are used and the server name is the same. Уязвимость компонента lib/protocol.c программного средства для взаимодействия с серверами CURL связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 curl Successfully using libcurl to do a transfer over a specific HTTP proxy (`proxyA`) with **Digest** authentication and then changing the proxy host to a second one (`proxyB`) for a second transfer, reusing the same handle, makes libcurl wrongly pass on the `Proxy-Authorization:` header field meant for `proxyA`, to `proxyB`. [NistCWE(cwe='CWE-294')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-693 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 3.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-94 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 3.8 keepalived Уязвимость компонента parser.c системы балансировки сетевого трафика Keepalived связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 3.8 keepalived Уязвимость компонента parser.c системы балансировки сетевого трафика Keepalived связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-122 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H Astra Linux 3.8 keepalived Уязвимость компонента parser.c системы балансировки сетевого трафика Keepalived связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 3.8 cpio Уязвимость функции parse_opt() утилиты архивирования Cpio связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-190 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 cpio Уязвимость функции from_ascii() компонента copyin.c утилиты архивирования Cpio связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-121 AV:L/AC:M/Au:N/C:P/I:P/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 cpio Уязвимость функции read_name_from_file утилиты архивирования Cpio связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании CWE-20 AV:N/AC:L/Au:N/C:P/I:N/A:P AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 cpio Уязвимость функции parser_parse_opt() утилиты архивирования Cpio связана с неправильным побитовым смещением целого числа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-1335 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 cups Уязвимость компонента ppdc.cxx сервера печати CUPS связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 krb5 Уязвимость функции decode_krb5_flags() компонента asn1_k_encode.c сетевого протокола аутентификации Kerberos связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-190 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 3.8 keepalived Уязвимость функции read_line() компонента parser.c системы балансировки сетевого трафика Keepalived связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 3.8 tar Уязвимость функции short_read() компонента buffer.c архиватора GNU Tar связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H rust-tar: - Удалить ПО rust-tar, если оно не используется и не является зависимостью других пакетов - При использовании ПО rust-tar выполнять обработку архивов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды tar: - Запускайте tar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам tar так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. libtar: - Запускайте libtar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libtar так, чтобы их могли изменять только администраторы системы. - При использовании ПО libtar выполнять обработку файлов, полученных только из доверенных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. node-tar-fs: - Удалить ПО node-tar-fs, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО node-tar-fs - При использовании ПО node-tar-fs выполнять обработку файлов, полученных только из доверенных источников. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 cups Уязвимость функции cupsArrayAddStrings сервера печати CUPS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-122 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 tar Уязвимость функции _obstack_begin_worker() компонента obstack.cархиватора GNU Tar связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-476 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H rust-tar: - Удалить ПО rust-tar, если оно не используется и не является зависимостью других пакетов - При использовании ПО rust-tar выполнять обработку архивов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды tar: - Запускайте tar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам tar так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. libtar: - Запускайте libtar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libtar так, чтобы их могли изменять только администраторы системы. - При использовании ПО libtar выполнять обработку файлов, полученных только из доверенных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. node-tar-fs: - Удалить ПО node-tar-fs, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО node-tar-fs - При использовании ПО node-tar-fs выполнять обработку файлов, полученных только из доверенных источников. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 cups Уязвимость компонента raster-interpret.c сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-20 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 ntpsec Уязвимость реализации протокола сетевого времени NTPsec связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным CWE-125 AV:N/AC:M/Au:N/C:P/I:N/A:N AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N Astra Linux 3.8 lua5.3 Уязвимость компонента lmathlib.c интерпретатора скриптов Lua связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-681 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H lua5.3: - При использовании ПО Lua выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Lua-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 audit Уязвимость функции extract_timestamp инструмента хранения и поиска записей аудита Linux Audit связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 coreutils Уязвимость утилиты factor‎ пакета базовых утилит для операционных систем GNU Core Utilities связана с зависимостью от неопределенного для каждого типа реализации поведения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-758 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 usbutils Уязвимость функции readlink_recursive утилиты для работы с usb Usbutils связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-121 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H Astra Linux 3.8 libbpf Уязвимость библиотеки загрузчика BPF Libbpf связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 libbpf Уязвимость библиотеки загрузчика BPF Libbpf связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 libgost Уязвимость криптографической библиотеки Libgost связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-121 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 3.8 libcgroup Уязвимость функции cgroup_add_controller()компонента wrapper.c инструментов управления ресурсами процессов Libcgroup связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 3.8 usbutils Уязвимость компонента list.h утилиты для работы с usb Usbutils связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 ntpsec Уязвимость функции nts_client_process_response() компонента ntpd/nts_client.c реализации протокола сетевого времени NTPsec связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Astra Linux 3.8 usbutils Уязвимость утилиты для работы с usb Usbutils связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L Astra Linux 3.8 libssh2 Уязвимость функции _libssh2_packet_add() компонента packet.c библиотеки реализации протокола SSH2 Libssh2 связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-20 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 3.8 libbpf Уязвимость компонента src/libbpf.c библиотеки загрузчика BPF Libbpf связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 parsec Уязвимость подсистемы безопасности PARSEC связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-190 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 audit Уязвимость компонента ausearch-parse.c инструмента хранения и поиска записей аудита Linux Audit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 3.8 corosync Уязвимость функции remove_whitespace кластерного движка Corosync связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-121 AV:L/AC:L/Au:N/C:P/I:P/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 3.8 corosync Уязвимость компонента coroparse.c кластерного движка Corosync связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 3.8 corosync Уязвимость компонента coroparse.c кластерного движка Corosync связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 3.8 corosync Уязвимость компонента coroparse.c кластерного движка Corosync связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 3.8 haproxy Уязвимость компонента src/cfgparse.c серверного программного обеспечения HAProxy связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 cups Уязвимость сервера печати CUPS связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 haproxy Уязвимость компонента src/cfgparse.c серверного программного обеспечения HAProxy связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 cpio Уязвимость утилиты архивирования Cpio связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-190 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 3.8 bzip2 Уязвимость утилиты для сжатия данных Bzip2 связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 3.8 keepalived Уязвимость системы балансировки сетевого трафика Keepalived связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-129 AV:L/AC:H/Au:N/C:N/I:N/A:P AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:L Astra Linux 3.8 libssh2 Уязвимость компонента src/kex.c библиотеки реализации протокола SSH2 Libssh2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным CWE-125 AV:N/AC:H/Au:N/C:P/I:N/A:N AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 3.8 tar Уязвимость функции extract_file() архиватора GNU Tar связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H rust-tar: - Удалить ПО rust-tar, если оно не используется и не является зависимостью других пакетов - При использовании ПО rust-tar выполнять обработку архивов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды tar: - Запускайте tar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам tar так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. libtar: - Запускайте libtar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libtar так, чтобы их могли изменять только администраторы системы. - При использовании ПО libtar выполнять обработку файлов, полученных только из доверенных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. node-tar-fs: - Удалить ПО node-tar-fs, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО node-tar-fs - При использовании ПО node-tar-fs выполнять обработку файлов, полученных только из доверенных источников. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 apt Уязвимость функции PackageFromTask() программы для установки, обновления и удаления программных пакетов Apt связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H python-wrapt: - Использовать ПО python-wrapt только на низком или отдельно выделенном уровне целостности - При использовании ПО python-wrapt выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-wrapt только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды raptor2: - Удалить ПО raptor2, если оно не используется и не является зависимостью других пакетов - Запускайте приложения, использующие raptor2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте тщательную проверку всех данных, обрабатываемых Raptor2, чтобы предотвратить атаки, связанные с некорректными или недоверенными данными, например, поддельными или вредоносными RDF-запросами. - Рассмотрите возможность изоляции процессов с Raptor2, используя контейнеры (например, Docker) или виртуализацию Astra Linux 3.8 libssh2 Уязвимость функции _libssh2_ntohu32() библиотеки реализации протокола SSH2 Libssh2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании CWE-125 AV:N/AC:M/Au:N/C:P/I:N/A:P AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 3.8 poppler NSSCryptoSignBackend.cc in Poppler before 25.04.0 does not verify the adbe.pkcs7.sha1 signatures on documents, resulting in potential signature forgeries. Уязвимость компонента adbe.pkcs7.sha1 библиотеки для отображения PDF-файлов Poppler связана с ошибками проверки криптографической подписи. Эксплуатация уязвимости может позволить нарушителю выполнить атаку методом подмены [NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 poppler Poppler is a PDF rendering library. Versions prior to 25.06.0 use `std::atomic_int` for reference counting. Because `std::atomic_int` is only 32 bits, it is possible to overflow the reference count and trigger a use-after-free. Version 25.06.0 patches the issue. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 rubygems A ReDoS issue was discovered in the URI component through 0.12.0 in Ruby through 3.2.1. The URI parser mishandles invalid URLs that have specific characters. It causes an increase in execution time for parsing strings to URI objects. The fixed versions are 0.12.1, 0.11.1, 0.10.2 and 0.10.0.1. Уязвимость компонента URI языка программирования Ruby связана с некорректной реализацией обработки недопустимых URL-адресов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 3.8 ruby3.1 A ReDoS issue was discovered in the Time component through 0.2.1 in Ruby through 3.2.1. The Time parser mishandles invalid URLs that have specific characters. It causes an increase in execution time for parsing strings to Time objects. The fixed versions are 0.1.1 and 0.2.2. Уязвимость компонента Time языка программирования Ruby связана с некорректной реализацией обработки недопустимых URL-адресов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Использовать ПО ruby только на низком или отдельно выделенном уровне ц Astra Linux 3.8 grub2 GRUB2 does not call the module fini functions on exit, leading to Debian/Ubuntu's peimage GRUB2 module leaving UEFI system table hooks after exit. This lead to a use-after-free condition, and could possibly lead to secure boot bypass. Уязвимость конфигурационного файла Grub связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 containerd-app containerd is an open-source container runtime. Versions 0.1.0 through 1.7.28, 2.0.0-beta.0 through 2.0.6, 2.1.0-beta.0 through 2.1.4 and 2.2.0-beta.0 through 2.2.0-rc.1 have an overly broad default permission vulnerability. Directory paths `/var/lib/containerd`, `/run/containerd/io.containerd.grpc.v1.cri` and `/run/containerd/io.containerd.sandbox.controller.v1.shim` were all created with incorrect permissions. This issue is fixed in versions 1.7.29, 2.0.7, 2.1.5 and 2.2.0. Workarounds include updating system administrator permissions so the host can manually chmod the directories to not have group or world accessible permissions, or to run containerd in rootless mode. Уязвимость среды выполнения контейнеров Containerd связана с неправильным разрешением на исполнение. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-279')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) 1. Не запускайте containerd с root-правами 2. Ограничьте права доступа к служебным директориям containerd: - Остановите containerd: ``` sudo systemctl stop containerd ``` - Установите правильлные права (доступ только у root) ``` sudo chmod 700 /var/lib/containerd sudo chmod 700 /run/containerd/io.containerd.grpc.v1.cri sudo chmod 700 /run/containerd/io.containerd.sandbox.controller.v1.shim ``` - Запустите containerd: ``` sudo systemctl start containerd ``` Astra Linux 3.8 c-ares c-ares is a C library for asynchronous DNS requests. `ares__read_line()` is used to parse local configuration files such as `/etc/resolv.conf`, `/etc/nsswitch.conf`, the `HOSTALIASES` file, and if using a c-ares version prior to 1.27.0, the `/etc/hosts` file. If any of these configuration files has an embedded `NULL` character as the first character in a new line, it can lead to attempting to read memory prior to the start of the given buffer which may result in a crash. This issue is fixed in c-ares 1.27.0. No known workarounds exist. Уязвимость функции ares__read_line() библиотеки асинхронных DNS-запросов C-ares связана с выходом операции за границы буфера в памяти из-за NULL-байта в конфигурационных файлах системы. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-127'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) - Удалить ПО c-ares, если оно не используется и не является зависимостью других пакетов - При использовании ПО c-ares проверить корректность конфигурации файлов /etc/resolv.conf, /etc/nsswitch.conf и /etc/hosts. Необходимо убедиться, что в этих конфигурационных файлах отсутствуют NULL-байты. Выполните следующую команду: ```bash grep -Pa '\x00' --color=never /etc/resolv.conf /etc/nsswitch.conf /etc/hosts | cat -vET ``` Если команда выведет путь к какому-либо файлу или строку с символом ^@, это означает, что в данном файле присутствует NULL-байт. В этом случае нужно открыть указанный файл в текстовом редакторе и удалить соответствующий символ (например, ^@), после чего сохранить изменения. - Убедитесь, что только доверенные процессы/пользователи имеют право менять файлы. - Ограничьте права сервисов, использующих библиотеку c-ares, до непривилегированных пользователей. - Настройте постоянный мониторинг на изменения системных конфигурационных файлов - При использовании ПО c-ares выполнять обработку файлов, полученных только из доверенных источников Astra Linux 3.8 openipmi OpenIPMI before 2.0.36 has an out-of-bounds array access (for authentication type) in the ipmi_sim simulator, resulting in denial of service or (with very low probability) authentication bypass or code execution. Уязвимость компонента lanserv_ipmi.c утилиты для управления IPMI-устройствами OpenIPMI связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.0) Astra Linux 3.8 requests Requests is a HTTP library. Due to a URL parsing issue, Requests releases prior to 2.32.4 may leak .netrc credentials to third parties for specific maliciously-crafted URLs. Users should upgrade to version 2.32.4 to receive a fix. For older versions of Requests, use of the .netrc file can be disabled with `trust_env=False` on one's Requests Session. Уязвимость библиотеки HTTP запросов языка программирования Python Requests связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) - При использовании модуля requests отключить использование .netrc в Requests, создавая Session(trust_env=False) или устанавливая trust_env=False при вызове, чтобы Requests не читал .netrc и переменные окружения - При использовании модуля requests явно указывать учетные данные, используемые при каждом вызове API, чтобы отключить доступ к файлу .netrc Astra Linux 3.8 ovn A flaw was found in the Open Virtual Network (OVN). Specially crafted UDP packets may bypass egress access control lists (ACLs) in OVN installations configured with a logical switch with DNS records set on it and if the same switch has any egress ACLs configured. This issue can lead to unauthorized access to virtual machines and containers running on the OVN network. Уязвимость программного многоуровневого коммутатора Open vSwitch связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного UDP пакета [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) ovn: - Обеспечить подключения к серверу, использующему ПО ovn, только по https протоколу - Отключить неиспользуемые модули ovn - Запускайте ovn с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика Astra Linux 3.8 rsync A malicious client acting as the receiver of an rsync file transfer can trigger an out of bounds read of a heap based buffer, via a negative array index. The malicious rsync client requires at least read access to the remote rsync module in order to trigger the issue. Уязвимость функции f_name() утилиты для передачи и синхронизации файлов Rsync связана с выходом операции за границы буфера в памяти в результате некорректной проверки индекса массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=4.3) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 qtsvg-opensource-src The module will parse a <pattern> node which is not a child of a structural node. The node will be deleted after creation but might be accessed later leading to a use after free. Уязвимость функции renderPattern() кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None None qtsvg-opensource-src: - В приложениях, использующих ПО qtsvg-opensource-src, выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 3.8 libxslt A use-after-free vulnerability was found in libxslt while parsing xsl nodes that may lead to the dereference of expired pointers and application crash. Уязвимость библиотеки для анализа XML-документов Libxslt связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 3.8 openssl Issue summary: PBMAC1 parameters in PKCS#12 files are missing validation which can trigger a stack-based buffer overflow, invalid pointer or NULL pointer dereference during MAC verification. Impact summary: The stack buffer overflow or NULL pointer dereference may cause a crash leading to Denial of Service for an application that parses untrusted PKCS#12 files. The buffer overflow may also potentially enable code execution depending on platform mitigations. When verifying a PKCS#12 file that uses PBMAC1 for the MAC, the PBKDF2 salt and keylength parameters from the file are used without validation. If the value of keylength exceeds the size of the fixed stack buffer used for the derived key (64 bytes), the key derivation will overflow the buffer. The overflow length is attacker-controlled. Also, if the salt parameter is not an OCTET STRING type this can lead to invalid or NULL pointer dereference. Exploiting this issue requires a user or application to process a maliciously crafted PKCS#12 file. It is uncommon to accept untrusted PKCS#12 files in applications as they are usually used to store private keys which are trusted by definition. For this reason the issue was assessed as Moderate severity. The FIPS modules in 3.6, 3.5 and 3.4 are not affected by this issue, as PKCS#12 processing is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5 and 3.4 are vulnerable to this issue. OpenSSL 3.3, 3.0, 1.1.1 and 1.0.2 are not affected by this issue as they do not support PBMAC1 in PKCS#12. Уязвимость файлов формата PKCS#12 библиотеки OpenSSL связана с разыменованием указателей. Эксплуатация уязвимость может позволить нарушителю вызвать отказ в обслуживании или выпонить произвольный код [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:H', score=6.1) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability has been found in GNU Binutils 2.45. This impacts the function bfd_elf_gc_record_vtentry of the file bfd/elflink.c of the component Linker. The manipulation leads to out-of-bounds read. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. The identifier of the patch is 047435dd988a3975d40c6626a8f739a0b2e154bc. To fix this issue, it is recommended to deploy a patch. Уязвимость функции bfd_elf_gc_record_vtentry компонента bfd/elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail; - запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - при использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.45. Affected is the function elf_link_add_object_symbols of the file bfd/elflink.c of the component Linker. The manipulation results in out-of-bounds read. The attack needs to be approached locally. The exploit has been made public and could be used. Upgrading to version 2.46 is able to address this issue. The patch is identified as 72efdf166aa0ed72ecc69fc2349af6591a7a19c0. Upgrading the affected component is advised. Уязвимость функции elf_link_add_object_symbols компонента bfd/elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail; - запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - при использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 3.8 binutils A vulnerability was determined in GNU Binutils 2.45. Affected by this vulnerability is the function get_link_hash_entry of the file bfd/elflink.c of the component Linker. This manipulation causes out-of-bounds read. The attack can only be executed locally. The exploit has been publicly disclosed and may be utilized. Upgrading to version 2.46 addresses this issue. Patch name: aeaaa9af6359c8e394ce9cf24911fec4f4d23703. It is advisable to upgrade the affected component. Уязвимость функции get_link_hash_entry компонента bfd/elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail; - запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - при использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 3.8 binutils A vulnerability has been found in GNU Binutils 2.43 and classified as problematic. Affected by this vulnerability is the function __sanitizer::internal_strlen of the file binutils/nm.c of the component nm. The manipulation of the argument const leads to buffer overflow. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. Уязвимость функции __sanitizer::internal_strlen компонента binutils/nm.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:N/I:N/A:P', score=2.6) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.43 and classified as problematic. Affected by this issue is the function link_order_scan of the file ld/ldelfgen.c of the component ld. The manipulation leads to memory leak. The attack may be launched remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used. It is recommended to apply a patch to fix this issue. The code maintainer explains: "I'm not going to commit some of the leak fixes I've been working on to the 2.44 branch due to concern that would destabilise ld. All of the reported leaks in this bugzilla have been fixed on binutils master." Уязвимость функции link_order_scan() компонента ld/ldelfgen.c программного средства разработки GNU Binutils связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:N/I:N/A:P', score=2.6) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.45. Impacted is the function _bfd_x86_elf_late_size_sections of the file bfd/elfxx-x86.c of the component Linker. The manipulation results in out-of-bounds read. The attack needs to be approached locally. The exploit has been made public and could be used. The patch is identified as b6ac5a8a5b82f0ae6a4642c8d7149b325f4cc60a. A patch should be applied to remediate this issue. Уязвимость функции _bfd_x86_elf_late_size_sections компонента bfd/elfxx-x86.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 sssd A flaw was found in the integration of Active Directory and the System Security Services Daemon (SSSD) on Linux systems. In default configurations, the Kerberos local authentication plugin (sssd_krb5_localauth_plugin) is enabled, but a fallback to the an2ln plugin is possible. This fallback allows an attacker with permission to modify certain AD attributes (such as userPrincipalName or samAccountName) to impersonate privileged users, potentially resulting in unauthorized access or privilege escalation on domain-joined Linux hosts. Уязвимость сервиса управления доступом к удаленным каталогам и механизма аутентификации SSSD связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Вы можете отслеживать любые изменения атрибутов userPrincipalName или sAMAccountName в Active Directory, а также обеспечить, чтобы пользователи не имели прав на запись в эти атрибуты. Если вы используете SSSD, вы также можете включить и настроить плагин sssd_krb5_localauth_plugin для предотвращения данной уязвимости. Кроме того, рекомендуется отключить однократный вход (SSO) через Kerberos на Linux-системе, если он вам не требуется. Astra Linux 3.8 libxslt A flaw was found in the exsltFuncResultComp() function of libxslt, which handles EXSLT <func:result> elements during stylesheet parsing. Due to improper type handling, the function may treat an XML document node as a regular XML element node, resulting in a type confusion. This can cause unexpected memory reads and potential crashes. While difficult to exploit, the flaw could lead to application instability or denial of service. Уязвимость функции exsltFuncResultComp() компонента functions.c библиотеки для анализа XML-документов Libxslt связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 3.8 binutils A security flaw has been discovered in GNU Binutils 2.45. Impacted is the function tg_tag_type of the file prdbg.c. Performing a manipulation results in unchecked return value. The attack needs to be approached locally. The exploit has been released to the public and may be used for attacks. Уязвимость функции tg_tag_type() компонента prdbg.c программного средства разработки GNU Binutils связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252'), NistCWE(cwe='CWE-252')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 binutils A weakness has been identified in GNU Binutils 2.45. The affected element is the function vfinfo of the file ldmisc.c. Executing a manipulation can lead to out-of-bounds read. The attack can only be executed locally. The exploit has been made available to the public and could be used for attacks. This patch is called 16357. It is best practice to apply a patch to resolve this issue. Уязвимость функции vfinfo() компонента ldmisc.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 qtdeclarative-opensource-src Allocation of Resources Without Limits or Throttling, Improper Validation of Specified Quantity in Input vulnerability in The Qt Company Qt on Windows, MacOS, Linux, iOS, Android, x86, ARM, 64 bit, 32 bit allows Excessive Allocation. This issue affects users of the Text component in Qt Quick. Missing validation of the width and height in the <img> tag could cause an application to become unresponsive. This issue affects Qt: from 5.0.0 through 6.5.10, from 6.6.0 through 6.8.5, from 6.9.0 through 6.10.0. Уязвимость тега <img> набора плагинов QML и Qt Quick для Qt6 Qt6 Declarative связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None None Astra Linux 3.8 openvpn Improper validation of source IP addresses in OpenVPN version 2.6.0 through 2.6.15 and 2.7_alpha1 through 2.7_rc1 allows an attacker to open a session from a different IP address which did not initiate the connection resulting in a denial of service for the originating client Уязвимость компонента ssl_pkt.c программного обеспечения OpenVPN связана с недостаточной проверкой источника канала связи. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-940')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 glib2.0 A heap-based buffer overflow problem was found in glib through an incorrect calculation of buffer size in the g_escape_uri_string() function. If the string to escape contains a very large number of unacceptable characters (which would need escaping), the calculation of the length of the escaped string could overflow, leading to a potential write off the end of the newly allocated string. Уязвимость функции g_escape_uri_string() набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=7.7) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 mariadb MariaDB mariadb-dump Utility Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of MariaDB. Interaction with the mariadb-dump utility is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of view names. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-27000. Уязвимость компонента mariadb-dump системы управления базами данных MariaDB связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 util-linux A flaw was found in util-linux. This vulnerability allows a heap buffer overread when processing 256-byte usernames, specifically within the `setpwnam()` function, affecting SUID (Set User ID) login-utils utilities writing to the password database. Уязвимость функции setpwnam() пакета служебных утилит командной строки Util-linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H', score=6.1) util-linux: - Использовать ПО util-linux только на низком или отдельно выделенном уровне целостности - Включить ввод пароля для sudo и su - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 php8.2 In PHP versions:8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1, the getimagesize() function may leak uninitialized heap memory into the APPn segments (e.g., APP1) when reading images in multi-chunk mode (such as via php://filter). This occurs due to a bug in php_read_stream_all_chunks() that overwrites the buffer without advancing the pointer, leaving tail bytes uninitialized. This may lead to information disclosure of sensitive heap data and affect the confidentiality of the target server. Уязвимость функции php_read_stream_all_chunks языка программирования PHP связана с возможностью спекулятивного выполнения команд. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 php8.2 In PHP versions:8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1, a heap buffer overflow occurs in array_merge() when the total element count of packed arrays exceeds 32-bit limits or HT_MAX_SIZE, due to an integer overflow in the precomputation of element counts using zend_hash_num_elements(). This may lead to memory corruption or crashes and affect the integrity and availability of the target server. Уязвимость функции php_array_merge_wrapper языка программирования PHP связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 php8.2 In PHP versions 8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1 when using the PDO PostgreSQL driver with PDO::ATTR_EMULATE_PREPARES enabled, an invalid character sequence (such as \x99) in a prepared statement parameter may cause the quoting function PQescapeStringConn to return NULL, leading to a null pointer dereference in pdo_parse_params() function. This may lead to crashes (segmentation fault) and affect the availability of the target server. Уязвимость объектно-ориентированного прикладного программного интерфейса PDO интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 3.8 glib2.0 A flaw was found in glib. This vulnerability allows a heap buffer overflow and denial-of-service (DoS) via an integer overflow in GLib's GIO (GLib Input/Output) escape_byte_string() function when processing malicious file or remote filesystem attribute values. Уязвимость функции escape_byte_string() компонента gio/gfileattribute.c набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 openssl Issue summary: Parsing CMS AuthEnvelopedData or EnvelopedData message with maliciously crafted AEAD parameters can trigger a stack buffer overflow. Impact summary: A stack buffer overflow may lead to a crash, causing Denial of Service, or potentially remote code execution. When parsing CMS (Auth)EnvelopedData structures that use AEAD ciphers such as AES-GCM, the IV (Initialization Vector) encoded in the ASN.1 parameters is copied into a fixed-size stack buffer without verifying that its length fits the destination. An attacker can supply a crafted CMS message with an oversized IV, causing a stack-based out-of-bounds write before any authentication or tag verification occurs. Applications and services that parse untrusted CMS or PKCS#7 content using AEAD ciphers (e.g., S/MIME (Auth)EnvelopedData with AES-GCM) are vulnerable. Because the overflow occurs prior to authentication, no valid key material is required to trigger it. While exploitability to remote code execution depends on platform and toolchain mitigations, the stack-based write primitive represents a severe risk. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the CMS implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3 and 3.0 are vulnerable to this issue. OpenSSL 1.1.1 and 1.0.2 are not affected by this issue. Уязвимость обработчика CMS-сообщений криптографической библиотеки OpenSSL связана с записью за границами буфера при обработке вектора инициализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных пакетов [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - ограничение возможности обработки сообщений CMS или S/MIME, полученных от недоверенных источников; - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет). Astra Linux 3.8 openssl Issue summary: If an application using the SSL_CIPHER_find() function in a QUIC protocol client or server receives an unknown cipher suite from the peer, a NULL dereference occurs. Impact summary: A NULL pointer dereference leads to abnormal termination of the running process causing Denial of Service. Some applications call SSL_CIPHER_find() from the client_hello_cb callback on the cipher ID received from the peer. If this is done with an SSL object implementing the QUIC protocol, NULL pointer dereference will happen if the examined cipher ID is unknown or unsupported. As it is not very common to call this function in applications using the QUIC protocol and the worst outcome is Denial of Service, the issue was assessed as Low severity. The vulnerable code was introduced in the 3.2 version with the addition of the QUIC protocol support. The FIPS modules in 3.6, 3.5, 3.4 and 3.3 are not affected by this issue, as the QUIC implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4 and 3.3 are vulnerable to this issue. OpenSSL 3.0, 1.1.1 and 1.0.2 are not affected by this issue. Уязвимость функции SSL_CIPHER_find() библиотеки OpenSSL связана с разыменованием указателей. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/migrate_device: don't add folio to be freed to LRU in migrate_device_finalize() If migration succeeded, we called folio_migrate_flags()->mem_cgroup_migrate() to migrate the memcg from the old to the new folio. This will set memcg_data of the old folio to 0. Similarly, if migration failed, memcg_data of the dst folio is left unset. If we call folio_putback_lru() on such folios (memcg_data == 0), we will add the folio to be freed to the LRU, making memcg code unhappy. Running the hmm selftests: # ./hmm-tests ... # RUN hmm.hmm_device_private.migrate ... [ 102.078007][T14893] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x7ff27d200 pfn:0x13cc00 [ 102.079974][T14893] anon flags: 0x17ff00000020018(uptodate|dirty|swapbacked|node=0|zone=2|lastcpupid=0x7ff) [ 102.082037][T14893] raw: 017ff00000020018 dead000000000100 dead000000000122 ffff8881353896c9 [ 102.083687][T14893] raw: 00000007ff27d200 0000000000000000 00000001ffffffff 0000000000000000 [ 102.085331][T14893] page dumped because: VM_WARN_ON_ONCE_FOLIO(!memcg && !mem_cgroup_disabled()) [ 102.087230][T14893] ------------[ cut here ]------------ [ 102.088279][T14893] WARNING: CPU: 0 PID: 14893 at ./include/linux/memcontrol.h:726 folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.090478][T14893] Modules linked in: [ 102.091244][T14893] CPU: 0 UID: 0 PID: 14893 Comm: hmm-tests Not tainted 6.13.0-09623-g6c216bc522fd #151 [ 102.093089][T14893] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 [ 102.094848][T14893] RIP: 0010:folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.096104][T14893] Code: ... [ 102.099908][T14893] RSP: 0018:ffffc900236c37b0 EFLAGS: 00010293 [ 102.101152][T14893] RAX: 0000000000000000 RBX: ffffea0004f30000 RCX: ffffffff8183f426 [ 102.102684][T14893] RDX: ffff8881063cb880 RSI: ffffffff81b8117f RDI: ffff8881063cb880 [ 102.104227][T14893] RBP: 0000000000000000 R08: 0000000000000005 R09: 0000000000000000 [ 102.105757][T14893] R10: 0000000000000001 R11: 0000000000000002 R12: ffffc900236c37d8 [ 102.107296][T14893] R13: ffff888277a2bcb0 R14: 000000000000001f R15: 0000000000000000 [ 102.108830][T14893] FS: 00007ff27dbdd740(0000) GS:ffff888277a00000(0000) knlGS:0000000000000000 [ 102.110643][T14893] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 102.111924][T14893] CR2: 00007ff27d400000 CR3: 000000010866e000 CR4: 0000000000750ef0 [ 102.113478][T14893] PKRU: 55555554 [ 102.114172][T14893] Call Trace: [ 102.114805][T14893] <TASK> [ 102.115397][T14893] ? folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.116547][T14893] ? __warn.cold+0x110/0x210 [ 102.117461][T14893] ? folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.118667][T14893] ? report_bug+0x1b9/0x320 [ 102.119571][T14893] ? handle_bug+0x54/0x90 [ 102.120494][T14893] ? exc_invalid_op+0x17/0x50 [ 102.121433][T14893] ? asm_exc_invalid_op+0x1a/0x20 [ 102.122435][T14893] ? __wake_up_klogd.part.0+0x76/0xd0 [ 102.123506][T14893] ? dump_page+0x4f/0x60 [ 102.124352][T14893] ? folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.125500][T14893] folio_batch_move_lru+0xd4/0x200 [ 102.126577][T14893] ? __pfx_lru_add+0x10/0x10 [ 102.127505][T14893] __folio_batch_add_and_move+0x391/0x720 [ 102.128633][T14893] ? __pfx_lru_add+0x10/0x10 [ 102.129550][T14893] folio_putback_lru+0x16/0x80 [ 102.130564][T14893] migrate_device_finalize+0x9b/0x530 [ 102.131640][T14893] dmirror_migrate_to_device.constprop.0+0x7c5/0xad0 [ 102.133047][T14893] dmirror_fops_unlocked_ioctl+0x89b/0xc80 Likely, nothing else goes wrong: putting the last folio reference will remove the folio from the LRU again. So besides memcg complaining, adding the folio to be freed to the LRU is just an unnecessary step. The new flow resembles what we have in migrate_folio_move(): add the dst to the lru, rem ---truncated--- Уязвимость функции migrate_device_finalize() модуля mm/migrate_device.c подсистемы управления памятью ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: Fix null-ptr-deref by sock_lock_init_class_and_name() and rmmod. When I ran the repro [0] and waited a few seconds, I observed two LOCKDEP splats: a warning immediately followed by a null-ptr-deref. [1] Reproduction Steps: 1) Mount CIFS 2) Add an iptables rule to drop incoming FIN packets for CIFS 3) Unmount CIFS 4) Unload the CIFS module 5) Remove the iptables rule At step 3), the CIFS module calls sock_release() for the underlying TCP socket, and it returns quickly. However, the socket remains in FIN_WAIT_1 because incoming FIN packets are dropped. At this point, the module's refcnt is 0 while the socket is still alive, so the following rmmod command succeeds. # ss -tan State Recv-Q Send-Q Local Address:Port Peer Address:Port FIN-WAIT-1 0 477 10.0.2.15:51062 10.0.0.137:445 # lsmod | grep cifs cifs 1159168 0 This highlights a discrepancy between the lifetime of the CIFS module and the underlying TCP socket. Even after CIFS calls sock_release() and it returns, the TCP socket does not die immediately in order to close the connection gracefully. While this is generally fine, it causes an issue with LOCKDEP because CIFS assigns a different lock class to the TCP socket's sk->sk_lock using sock_lock_init_class_and_name(). Once an incoming packet is processed for the socket or a timer fires, sk->sk_lock is acquired. Then, LOCKDEP checks the lock context in check_wait_context(), where hlock_class() is called to retrieve the lock class. However, since the module has already been unloaded, hlock_class() logs a warning and returns NULL, triggering the null-ptr-deref. If LOCKDEP is enabled, we must ensure that a module calling sock_lock_init_class_and_name() (CIFS, NFS, etc) cannot be unloaded while such a socket is still alive to prevent this issue. Let's hold the module reference in sock_lock_init_class_and_name() and release it when the socket is freed in sk_prot_free(). Note that sock_lock_init() clears sk->sk_owner for svc_create_socket() that calls sock_lock_init_class_and_name() for a listening socket, which clones a socket by sk_clone_lock() without GFP_ZERO. [0]: CIFS_SERVER="10.0.0.137" CIFS_PATH="//${CIFS_SERVER}/Users/Administrator/Desktop/CIFS_TEST" DEV="enp0s3" CRED="/root/WindowsCredential.txt" MNT=$(mktemp -d /tmp/XXXXXX) mount -t cifs ${CIFS_PATH} ${MNT} -o vers=3.0,credentials=${CRED},cache=none,echo_interval=1 iptables -A INPUT -s ${CIFS_SERVER} -j DROP for i in $(seq 10); do umount ${MNT} rmmod cifs sleep 1 done rm -r ${MNT} iptables -D INPUT -s ${CIFS_SERVER} -j DROP [1]: DEBUG_LOCKS_WARN_ON(1) WARNING: CPU: 10 PID: 0 at kernel/locking/lockdep.c:234 hlock_class (kernel/locking/lockdep.c:234 kernel/locking/lockdep.c:223) Modules linked in: cifs_arc4 nls_ucs2_utils cifs_md4 [last unloaded: cifs] CPU: 10 UID: 0 PID: 0 Comm: swapper/10 Not tainted 6.14.0 #36 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:hlock_class (kernel/locking/lockdep.c:234 kernel/locking/lockdep.c:223) ... Call Trace: <IRQ> __lock_acquire (kernel/locking/lockdep.c:4853 kernel/locking/lockdep.c:5178) lock_acquire (kernel/locking/lockdep.c:469 kernel/locking/lockdep.c:5853 kernel/locking/lockdep.c:5816) _raw_spin_lock_nested (kernel/locking/spinlock.c:379) tcp_v4_rcv (./include/linux/skbuff.h:1678 ./include/net/tcp.h:2547 net/ipv4/tcp_ipv4.c:2350) ... BUG: kernel NULL pointer dereference, address: 00000000000000c4 PF: supervisor read access in kernel mode PF: error_code(0x0000) - not-present page PGD 0 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 10 UID: 0 PID: 0 Comm: swapper/10 Tainted: G W 6.14.0 #36 Tainted: [W]=WARN Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:__lock_acquire (kernel/ ---truncated--- Уязвимость компонентов net ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Fix a resource leak related to the scp device in FW initialization On Mediatek devices with a system companion processor (SCP) the mtk_scp structure has to be removed explicitly to avoid a resource leak. Free the structure in case the allocation of the firmware structure fails during the firmware initialization. Уязвимость компонента mtk_vcodec_fw_scp.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 389-ds-base A flaw was found in the 389-ds-base LDAP Server. This issue occurs when issuing a Modify DN LDAP operation through the ldap protocol, when the function return value is not tested and a NULL pointer is dereferenced. If a privileged user performs a ldap MODDN operation after a failed operation, it could lead to a Denial of Service (DoS) or system crash. Уязвимость сервера службы каталогов 389 Directory Server связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) Astra Linux 3.8 ruby-rack Rack provides an interface for developing web applications in Ruby. Prior to versions 2.2.11, 3.0.12, and 3.1.10, Rack::CommonLogger can be exploited by crafting input that includes newline characters to manipulate log entries. The supplied proof-of-concept demonstrates injecting malicious content into logs. When a user provides the authorization credentials via Rack::Auth::Basic, if success, the username will be put in env['REMOTE_USER'] and later be used by Rack::CommonLogger for logging purposes. The issue occurs when a server intentionally or unintentionally allows a user creation with the username contain CRLF and white space characters, or the server just want to log every login attempts. If an attacker enters a username with CRLF character, the logger will log the malicious username with CRLF characters into the logfile. Attackers can break log formats or insert fraudulent entries, potentially obscuring real activity or injecting malicious data into log files. Versions 2.2.11, 3.0.12, and 3.1.10 contain a fix. Уязвимость интерфейса модуля Rack интерпретатора языка программирования Ruby связана с непринятием мер по нейтрализации CRLF-последовательностей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ на изменение защищаемой информации [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=6.5) ruby-rack: - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. The Rack::Sendfile middleware logs unsanitised header values from the X-Sendfile-Type header. An attacker can exploit this by injecting escape sequences (such as newline characters) into the header, resulting in log injection. This vulnerability is fixed in 2.2.12, 3.0.13, and 3.1.11. Уязвимость интерфейса модуля Rack интерпретатора языка программирования Ruby связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на целостность защищаемой информации [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Прекратите использование Rack::Sendfile Astra Linux 3.8 ruby3.1 In the CGI gem before 0.4.2 for Ruby, the CGI::Cookie.parse method in the CGI library contains a potential Denial of Service (DoS) vulnerability. The method does not impose any limit on the length of the raw cookie value it processes. This oversight can lead to excessive resource consumption when parsing extremely large cookies. Уязвимость программного средства cgi gem, связанная с неправильная проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L', score=5.8) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 ruby3.1 In the CGI gem before 0.4.2 for Ruby, a Regular Expression Denial of Service (ReDoS) vulnerability exists in the Util#escapeElement method. Уязвимость программного средства cgi gem, связанная с недостаточной проверкой ввода при обработке ненадежного ввода с помощью регулярных выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:N/A:L', score=4.0) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 rubygems In the URI gem before 1.0.3 for Ruby, the URI handling methods (URI.join, URI#merge, URI#+) have an inadvertent leakage of authentication credentials because userinfo is retained even after changing the host. Уязвимость системы управления пакетами RubyGems, языка программирования Ruby связана с неправильным межграничным удалением критичных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-212'), NistCWE(cwe='CWE-212')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:N/A:N', score=3.2) Astra Linux 3.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. In versions 1.2.7 and below, 1.3.0-rc.1 through 1.3.1, 1.4.0-rc.1 and 1.4.0-rc.2 files, runc would not perform sufficient verification that the source of the bind-mount (i.e., the container's /dev/null) was actually a real /dev/null inode when using the container's /dev/null to mask. This exposes two methods of attack: an arbitrary mount gadget, leading to host information disclosure, host denial of service, container escape, or a bypassing of maskedPaths. This issue is fixed in versions 1.2.8, 1.3.3 and 1.4.0-rc.3. Уязвимость функции maskedPaths инструмента для запуска изолированных контейнеров runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: 1. Использовать Docker для работы в непривилегированном (rootless) режиме 2. Запускать контейнеры от имени непривилегированного пользователя (внутри контейнера) Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: light: opt3001: fix deadlock due to concurrent flag access The threaded IRQ function in this driver is reading the flag twice: once to lock a mutex and once to unlock it. Even though the code setting the flag is designed to prevent it, there are subtle cases where the flag could be true at the mutex_lock stage and false at the mutex_unlock stage. This results in the mutex not being unlocked, resulting in a deadlock. Fix it by making the opt3001_irq() code generally more robust, reading the flag into a variable and using the variable value at both stages. Уязвимость функции opt3001_irq() в модуле drivers/iio/light/opt3001.c драйвера фотодатчиков ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix_devices: Fix PHY address mask in MDIO bus initialization Syzbot reported shift-out-of-bounds exception on MDIO bus initialization. The PHY address should be masked to 5 bits (0-31). Without this mask, invalid PHY addresses could be used, potentially causing issues with MDIO bus operations. Fix this by masking the PHY address with 0x1f (31 decimal) to ensure it stays within the valid range. Уязвимость компонента asix_devices.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: edma: Fix memory allocation size for queue_priority_map Fix a critical memory allocation bug in edma_setup_from_hw() where queue_priority_map was allocated with insufficient memory. The code declared queue_priority_map as s8 (*)[2] (pointer to array of 2 s8), but allocated memory using sizeof(s8) instead of the correct size. This caused out-of-bounds memory writes when accessing: queue_priority_map[i][0] = i; queue_priority_map[i][1] = i; The bug manifested as kernel crashes with "Oops - undefined instruction" on ARM platforms (BeagleBoard-X15) during EDMA driver probe, as the memory corruption triggered kernel hardening features on Clang. Change the allocation to use sizeof(*queue_priority_map) which automatically gets the correct size for the 2D array structure. Уязвимость функции edma_setup_from_hw() модуля drivers/dma/ti/edma.c ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Fix double free in idxd_setup_wqs() The clean up in idxd_setup_wqs() has had a couple bugs because the error handling is a bit subtle. It's simpler to just re-write it in a cleaner way. The issues here are: 1) If "idxd->max_wqs" is <= 0 then we call put_device(conf_dev) when "conf_dev" hasn't been initialized. 2) If kzalloc_node() fails then again "conf_dev" is invalid. It's either uninitialized or it points to the "conf_dev" from the previous iteration so it leads to a double free. It's better to free partial loop iterations within the loop and then the unwinding at the end can handle whole loop iterations. I also renamed the labels to describe what the goto does and not where the goto was located. Уязвимость функции idxd_setup_wqs() модуля drivers/dma/idxd/init.c ядра операционной системы Linux связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: xilinx_can: xcan_write_frame(): fix use-after-free of transmitted SKB can_put_echo_skb() takes ownership of the SKB and it may be freed during or after the call. However, xilinx_can xcan_write_frame() keeps using SKB after the call. Fix that by only calling can_put_echo_skb() after the code is done touching the SKB. The tx_lock is held for the entire xcan_write_frame() execution and also on the can_get_echo_skb() side so the order of operations does not matter. An earlier fix commit 3d3c817c3a40 ("can: xilinx_can: Fix usage of skb memory") did not move the can_put_echo_skb() call far enough. [mkl: add "commit" in front of sha1 in patch description] [mkl: fix indention] Уязвимость функции xcan_write_frame() модуля drivers/net/can/xilinx_can.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fec: Fix possible NPD in fec_enet_phy_reset_after_clk_enable() The function of_phy_find_device may return NULL, so we need to take care before dereferencing phy_dev. Уязвимость функции fec_enet_phy_reset_after_clk_enable() модуля drivers/net/ethernet/freescale/fec_main.c ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs: fix use-after-free in state_show() state_show() reads kdamond->damon_ctx without holding damon_sysfs_lock. This allows a use-after-free race: CPU 0 CPU 1 ----- ----- state_show() damon_sysfs_turn_damon_on() ctx = kdamond->damon_ctx; mutex_lock(&damon_sysfs_lock); damon_destroy_ctx(kdamond->damon_ctx); kdamond->damon_ctx = NULL; mutex_unlock(&damon_sysfs_lock); damon_is_running(ctx); /* ctx is freed */ mutex_lock(&ctx->kdamond_lock); /* UAF */ (The race can also occur with damon_sysfs_kdamonds_rm_dirs() and damon_sysfs_kdamond_release(), which free or replace the context under damon_sysfs_lock.) Fix by taking damon_sysfs_lock before dereferencing the context, mirroring the locking used in pid_show(). The bug has existed since state_show() first accessed kdamond->damon_ctx. Уязвимость функции state_show() модуля mm/damon/sysfs.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: fix invalid accesses to ceph_connection_v1_info There is a place where generic code in messenger.c is reading and another place where it is writing to con->v1 union member without checking that the union member is active (i.e. msgr1 is in use). On 64-bit systems, con->v1.auth_retry overlaps with con->v2.out_iter, so such a read is almost guaranteed to return a bogus value instead of 0 when msgr2 is in use. This ends up being fairly benign because the side effect is just the invalidation of the authorizer and successive fetching of new tickets. con->v1.connect_seq overlaps with con->v2.conn_bufs and the fact that it's being written to can cause more serious consequences, but luckily it's not something that happens often. Уязвимость функций con_fault_finish() и clear_standby() модуля net/ceph/messenger.c ядра операционной системы Linux связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-704')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля libceph.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль libceph в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep libceph ``` или ``` kmod list | grep libceph ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod libceph ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install libceph /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kernfs: Fix UAF in polling when open file is released A use-after-free (UAF) vulnerability was identified in the PSI (Pressure Stall Information) monitoring mechanism: BUG: KASAN: slab-use-after-free in psi_trigger_poll+0x3c/0x140 Read of size 8 at addr ffff3de3d50bd308 by task systemd/1 psi_trigger_poll+0x3c/0x140 cgroup_pressure_poll+0x70/0xa0 cgroup_file_poll+0x8c/0x100 kernfs_fop_poll+0x11c/0x1c0 ep_item_poll.isra.0+0x188/0x2c0 Allocated by task 1: cgroup_file_open+0x88/0x388 kernfs_fop_open+0x73c/0xaf0 do_dentry_open+0x5fc/0x1200 vfs_open+0xa0/0x3f0 do_open+0x7e8/0xd08 path_openat+0x2fc/0x6b0 do_filp_open+0x174/0x368 Freed by task 8462: cgroup_file_release+0x130/0x1f8 kernfs_drain_open_files+0x17c/0x440 kernfs_drain+0x2dc/0x360 kernfs_show+0x1b8/0x288 cgroup_file_show+0x150/0x268 cgroup_pressure_write+0x1dc/0x340 cgroup_file_write+0x274/0x548 Reproduction Steps: 1. Open test/cpu.pressure and establish epoll monitoring 2. Disable monitoring: echo 0 > test/cgroup.pressure 3. Re-enable monitoring: echo 1 > test/cgroup.pressure The race condition occurs because: 1. When cgroup.pressure is disabled (echo 0 > cgroup.pressure), it: - Releases PSI triggers via cgroup_file_release() - Frees of->priv through kernfs_drain_open_files() 2. While epoll still holds reference to the file and continues polling 3. Re-enabling (echo 1 > cgroup.pressure) accesses freed of->priv epolling disable/enable cgroup.pressure fd=open(cpu.pressure) while(1) ... epoll_wait kernfs_fop_poll kernfs_get_active = true echo 0 > cgroup.pressure ... cgroup_file_show kernfs_show // inactive kn kernfs_drain_open_files cft->release(of); kfree(ctx); ... kernfs_get_active = false echo 1 > cgroup.pressure kernfs_show kernfs_activate_one(kn); kernfs_fop_poll kernfs_get_active = true cgroup_file_poll psi_trigger_poll // UAF ... end: close(fd) To address this issue, introduce kernfs_get_active_of() for kernfs open files to obtain active references. This function will fail if the open file has been released. Replace kernfs_get_active() with kernfs_get_active_of() to prevent further operations on released file descriptors. Уязвимость механизма PSI (Pressure Stall Information) ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/memory-failure: fix VM_BUG_ON_PAGE(PagePoisoned(page)) when unpoison memory When I did memory failure tests, below panic occurs: page dumped because: VM_BUG_ON_PAGE(PagePoisoned(page)) kernel BUG at include/linux/page-flags.h:616! Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 PID: 720 Comm: bash Not tainted 6.10.0-rc1-00195-g148743902568 #40 RIP: 0010:unpoison_memory+0x2f3/0x590 RSP: 0018:ffffa57fc8787d60 EFLAGS: 00000246 RAX: 0000000000000037 RBX: 0000000000000009 RCX: ffff9be25fcdc9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff9be25fcdc9c0 RBP: 0000000000300000 R08: ffffffffb4956f88 R09: 0000000000009ffb R10: 0000000000000284 R11: ffffffffb4926fa0 R12: ffffe6b00c000000 R13: ffff9bdb453dfd00 R14: 0000000000000000 R15: fffffffffffffffe FS: 00007f08f04e4740(0000) GS:ffff9be25fcc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000564787a30410 CR3: 000000010d4e2000 CR4: 00000000000006f0 Call Trace: <TASK> unpoison_memory+0x2f3/0x590 simple_attr_write_xsigned.constprop.0.isra.0+0xb3/0x110 debugfs_attr_write+0x42/0x60 full_proxy_write+0x5b/0x80 vfs_write+0xd5/0x540 ksys_write+0x64/0xe0 do_syscall_64+0xb9/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f08f0314887 RSP: 002b:00007ffece710078 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000000009 RCX: 00007f08f0314887 RDX: 0000000000000009 RSI: 0000564787a30410 RDI: 0000000000000001 RBP: 0000564787a30410 R08: 000000000000fefe R09: 000000007fffffff R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000009 R13: 00007f08f041b780 R14: 00007f08f0417600 R15: 00007f08f0416a00 </TASK> Modules linked in: hwpoison_inject ---[ end trace 0000000000000000 ]--- RIP: 0010:unpoison_memory+0x2f3/0x590 RSP: 0018:ffffa57fc8787d60 EFLAGS: 00000246 RAX: 0000000000000037 RBX: 0000000000000009 RCX: ffff9be25fcdc9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff9be25fcdc9c0 RBP: 0000000000300000 R08: ffffffffb4956f88 R09: 0000000000009ffb R10: 0000000000000284 R11: ffffffffb4926fa0 R12: ffffe6b00c000000 R13: ffff9bdb453dfd00 R14: 0000000000000000 R15: fffffffffffffffe FS: 00007f08f04e4740(0000) GS:ffff9be25fcc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000564787a30410 CR3: 000000010d4e2000 CR4: 00000000000006f0 Kernel panic - not syncing: Fatal exception Kernel Offset: 0x31c00000 from 0xffffffff81000000 (relocation range: 0xffffffff80000000-0xffffffffbfffffff) ---[ end Kernel panic - not syncing: Fatal exception ]--- The root cause is that unpoison_memory() tries to check the PG_HWPoison flags of an uninitialized page. So VM_BUG_ON_PAGE(PagePoisoned(page)) is triggered. This can be reproduced by below steps: 1.Offline memory block: echo offline > /sys/devices/system/memory/memory12/state 2.Get offlined memory pfn: page-types -b n -rlN 3.Write pfn to unpoison-pfn echo <pfn> > /sys/kernel/debug/hwpoison/unpoison-pfn This scenario can be identified by pfn_to_online_page() returning NULL. And ZONE_DEVICE pages are never expected, so we can simply fail if pfn_to_online_page() == NULL to fix the bug. Уязвимость функции unpoison_memory() модуля mm/memory-failure.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix recursive semaphore deadlock in fiemap call syzbot detected a OCFS2 hang due to a recursive semaphore on a FS_IOC_FIEMAP of the extent list on a specially crafted mmap file. context_switch kernel/sched/core.c:5357 [inline] __schedule+0x1798/0x4cc0 kernel/sched/core.c:6961 __schedule_loop kernel/sched/core.c:7043 [inline] schedule+0x165/0x360 kernel/sched/core.c:7058 schedule_preempt_disabled+0x13/0x30 kernel/sched/core.c:7115 rwsem_down_write_slowpath+0x872/0xfe0 kernel/locking/rwsem.c:1185 __down_write_common kernel/locking/rwsem.c:1317 [inline] __down_write kernel/locking/rwsem.c:1326 [inline] down_write+0x1ab/0x1f0 kernel/locking/rwsem.c:1591 ocfs2_page_mkwrite+0x2ff/0xc40 fs/ocfs2/mmap.c:142 do_page_mkwrite+0x14d/0x310 mm/memory.c:3361 wp_page_shared mm/memory.c:3762 [inline] do_wp_page+0x268d/0x5800 mm/memory.c:3981 handle_pte_fault mm/memory.c:6068 [inline] __handle_mm_fault+0x1033/0x5440 mm/memory.c:6195 handle_mm_fault+0x40a/0x8e0 mm/memory.c:6364 do_user_addr_fault+0x764/0x1390 arch/x86/mm/fault.c:1387 handle_page_fault arch/x86/mm/fault.c:1476 [inline] exc_page_fault+0x76/0xf0 arch/x86/mm/fault.c:1532 asm_exc_page_fault+0x26/0x30 arch/x86/include/asm/idtentry.h:623 RIP: 0010:copy_user_generic arch/x86/include/asm/uaccess_64.h:126 [inline] RIP: 0010:raw_copy_to_user arch/x86/include/asm/uaccess_64.h:147 [inline] RIP: 0010:_inline_copy_to_user include/linux/uaccess.h:197 [inline] RIP: 0010:_copy_to_user+0x85/0xb0 lib/usercopy.c:26 Code: e8 00 bc f7 fc 4d 39 fc 72 3d 4d 39 ec 77 38 e8 91 b9 f7 fc 4c 89 f7 89 de e8 47 25 5b fd 0f 01 cb 4c 89 ff 48 89 d9 4c 89 f6 <f3> a4 0f 1f 00 48 89 cb 0f 01 ca 48 89 d8 5b 41 5c 41 5d 41 5e 41 RSP: 0018:ffffc9000403f950 EFLAGS: 00050256 RAX: ffffffff84c7f101 RBX: 0000000000000038 RCX: 0000000000000038 RDX: 0000000000000000 RSI: ffffc9000403f9e0 RDI: 0000200000000060 RBP: ffffc9000403fa90 R08: ffffc9000403fa17 R09: 1ffff92000807f42 R10: dffffc0000000000 R11: fffff52000807f43 R12: 0000200000000098 R13: 00007ffffffff000 R14: ffffc9000403f9e0 R15: 0000200000000060 copy_to_user include/linux/uaccess.h:225 [inline] fiemap_fill_next_extent+0x1c0/0x390 fs/ioctl.c:145 ocfs2_fiemap+0x888/0xc90 fs/ocfs2/extent_map.c:806 ioctl_fiemap fs/ioctl.c:220 [inline] do_vfs_ioctl+0x1173/0x1430 fs/ioctl.c:532 __do_sys_ioctl fs/ioctl.c:596 [inline] __se_sys_ioctl+0x82/0x170 fs/ioctl.c:584 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f5f13850fd9 RSP: 002b:00007ffe3b3518b8 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 0000200000000000 RCX: 00007f5f13850fd9 RDX: 0000200000000040 RSI: 00000000c020660b RDI: 0000000000000004 RBP: 6165627472616568 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 00007ffe3b3518f0 R13: 00007ffe3b351b18 R14: 431bde82d7b634db R15: 00007f5f1389a03b ocfs2_fiemap() takes a read lock of the ip_alloc_sem semaphore (since v2.6.22-527-g7307de80510a) and calls fiemap_fill_next_extent() to read the extent list of this running mmap executable. The user supplied buffer to hold the fiemap information page faults calling ocfs2_page_mkwrite() which will take a write lock (since v2.6.27-38-g00dc417fa3e7) of the same semaphore. This recursive semaphore will hold filesystem locks and causes a hang of the fileystem. The ip_alloc_sem protects the inode extent list and size. Release the read semphore before calling fiemap_fill_next_extent() in ocfs2_fiemap() and ocfs2_fiemap_inline(). This does an unnecessary semaphore lock/unlock on the last extent but simplifies the error path. Уязвимость функций ocfs2_extent_map_get_blocks(), ocfs2_fiemap_inline() и ocfs2_fiemap() модуля fs/ocfs2/extent_map.c ядра операционной системы Linux связана с некорректной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: rawnand: stm32_fmc2: avoid overlapping mappings on ECC buffer Avoid below overlapping mappings by using a contiguous non-cacheable buffer. [ 4.077708] DMA-API: stm32_fmc2_nfc 48810000.nand-controller: cacheline tracking EEXIST, overlapping mappings aren't supported [ 4.089103] WARNING: CPU: 1 PID: 44 at kernel/dma/debug.c:568 add_dma_entry+0x23c/0x300 [ 4.097071] Modules linked in: [ 4.100101] CPU: 1 PID: 44 Comm: kworker/u4:2 Not tainted 6.1.82 #1 [ 4.106346] Hardware name: STMicroelectronics STM32MP257F VALID1 SNOR / MB1704 (LPDDR4 Power discrete) + MB1703 + MB1708 (SNOR MB1730) (DT) [ 4.118824] Workqueue: events_unbound deferred_probe_work_func [ 4.124674] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 4.131624] pc : add_dma_entry+0x23c/0x300 [ 4.135658] lr : add_dma_entry+0x23c/0x300 [ 4.139792] sp : ffff800009dbb490 [ 4.143016] x29: ffff800009dbb4a0 x28: 0000000004008022 x27: ffff8000098a6000 [ 4.150174] x26: 0000000000000000 x25: ffff8000099e7000 x24: ffff8000099e7de8 [ 4.157231] x23: 00000000ffffffff x22: 0000000000000000 x21: ffff8000098a6a20 [ 4.164388] x20: ffff000080964180 x19: ffff800009819ba0 x18: 0000000000000006 [ 4.171545] x17: 6361727420656e69 x16: 6c6568636163203a x15: 72656c6c6f72746e [ 4.178602] x14: 6f632d646e616e2e x13: ffff800009832f58 x12: 00000000000004ec [ 4.185759] x11: 00000000000001a4 x10: ffff80000988af58 x9 : ffff800009832f58 [ 4.192916] x8 : 00000000ffffefff x7 : ffff80000988af58 x6 : 80000000fffff000 [ 4.199972] x5 : 000000000000bff4 x4 : 0000000000000000 x3 : 0000000000000000 [ 4.207128] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000812d2c40 [ 4.214185] Call trace: [ 4.216605] add_dma_entry+0x23c/0x300 [ 4.220338] debug_dma_map_sg+0x198/0x350 [ 4.224373] __dma_map_sg_attrs+0xa0/0x110 [ 4.228411] dma_map_sg_attrs+0x10/0x2c [ 4.232247] stm32_fmc2_nfc_xfer.isra.0+0x1c8/0x3fc [ 4.237088] stm32_fmc2_nfc_seq_read_page+0xc8/0x174 [ 4.242127] nand_read_oob+0x1d4/0x8e0 [ 4.245861] mtd_read_oob_std+0x58/0x84 [ 4.249596] mtd_read_oob+0x90/0x150 [ 4.253231] mtd_read+0x68/0xac Уязвимость компонента stm32_fmc2_nand.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/damon/lru_sort: avoid divide-by-zero in damon_lru_sort_apply_parameters() Patch series "mm/damon: avoid divide-by-zero in DAMON module's parameters application". DAMON's RECLAIM and LRU_SORT modules perform no validation on user-configured parameters during application, which may lead to division-by-zero errors. Avoid the divide-by-zero by adding validation checks when DAMON modules attempt to apply the parameters. This patch (of 2): During the calculation of 'hot_thres' and 'cold_thres', either 'sample_interval' or 'aggr_interval' is used as the divisor, which may lead to division-by-zero errors. Fix it by directly returning -EINVAL when such a case occurs. Additionally, since 'aggr_interval' is already required to be set no smaller than 'sample_interval' in damon_set_attrs(), only the case where 'sample_interval' is zero needs to be checked. Уязвимость компонента lru_sort.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix IRQ freeing in i40e_vsi_request_irq_msix error path If request_irq() in i40e_vsi_request_irq_msix() fails in an iteration later than the first, the error path wants to free the IRQs requested so far. However, it uses the wrong dev_id argument for free_irq(), so it does not free the IRQs correctly and instead triggers the warning: Trying to free already-free IRQ 173 WARNING: CPU: 25 PID: 1091 at kernel/irq/manage.c:1829 __free_irq+0x192/0x2c0 Modules linked in: i40e(+) [...] CPU: 25 UID: 0 PID: 1091 Comm: NetworkManager Not tainted 6.17.0-rc1+ #1 PREEMPT(lazy) Hardware name: [...] RIP: 0010:__free_irq+0x192/0x2c0 [...] Call Trace: <TASK> free_irq+0x32/0x70 i40e_vsi_request_irq_msix.cold+0x63/0x8b [i40e] i40e_vsi_request_irq+0x79/0x80 [i40e] i40e_vsi_open+0x21f/0x2f0 [i40e] i40e_open+0x63/0x130 [i40e] __dev_open+0xfc/0x210 __dev_change_flags+0x1fc/0x240 netif_change_flags+0x27/0x70 do_setlink.isra.0+0x341/0xc70 rtnl_newlink+0x468/0x860 rtnetlink_rcv_msg+0x375/0x450 netlink_rcv_skb+0x5c/0x110 netlink_unicast+0x288/0x3c0 netlink_sendmsg+0x20d/0x430 ____sys_sendmsg+0x3a2/0x3d0 ___sys_sendmsg+0x99/0xe0 __sys_sendmsg+0x8a/0xf0 do_syscall_64+0x82/0x2c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] </TASK> ---[ end trace 0000000000000000 ]--- Use the same dev_id for free_irq() as for request_irq(). I tested this with inserting code to fail intentionally. Уязвимость компонента i40e_main.c ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля i40e.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль i40e в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep i40e ``` или ``` kmod list | grep i40e ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod i40e ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install i40e /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp_bpf: Call sk_msg_free() when tcp_bpf_send_verdict() fails to allocate psock->cork. syzbot reported the splat below. [0] The repro does the following: 1. Load a sk_msg prog that calls bpf_msg_cork_bytes(msg, cork_bytes) 2. Attach the prog to a SOCKMAP 3. Add a socket to the SOCKMAP 4. Activate fault injection 5. Send data less than cork_bytes At 5., the data is carried over to the next sendmsg() as it is smaller than the cork_bytes specified by bpf_msg_cork_bytes(). Then, tcp_bpf_send_verdict() tries to allocate psock->cork to hold the data, but this fails silently due to fault injection + __GFP_NOWARN. If the allocation fails, we need to revert the sk->sk_forward_alloc change done by sk_msg_alloc(). Let's call sk_msg_free() when tcp_bpf_send_verdict fails to allocate psock->cork. The "*copied" also needs to be updated such that a proper error can be returned to the caller, sendmsg. It fails to allocate psock->cork. Nothing has been corked so far, so this patch simply sets "*copied" to 0. [0]: WARNING: net/ipv4/af_inet.c:156 at inet_sock_destruct+0x623/0x730 net/ipv4/af_inet.c:156, CPU#1: syz-executor/5983 Modules linked in: CPU: 1 UID: 0 PID: 5983 Comm: syz-executor Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:inet_sock_destruct+0x623/0x730 net/ipv4/af_inet.c:156 Code: 0f 0b 90 e9 62 fe ff ff e8 7a db b5 f7 90 0f 0b 90 e9 95 fe ff ff e8 6c db b5 f7 90 0f 0b 90 e9 bb fe ff ff e8 5e db b5 f7 90 <0f> 0b 90 e9 e1 fe ff ff 89 f9 80 e1 07 80 c1 03 38 c1 0f 8c 9f fc RSP: 0018:ffffc90000a08b48 EFLAGS: 00010246 RAX: ffffffff8a09d0b2 RBX: dffffc0000000000 RCX: ffff888024a23c80 RDX: 0000000000000100 RSI: 0000000000000fff RDI: 0000000000000000 RBP: 0000000000000fff R08: ffff88807e07c627 R09: 1ffff1100fc0f8c4 R10: dffffc0000000000 R11: ffffed100fc0f8c5 R12: ffff88807e07c380 R13: dffffc0000000000 R14: ffff88807e07c60c R15: 1ffff1100fc0f872 FS: 00005555604c4500(0000) GS:ffff888125af1000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00005555604df5c8 CR3: 0000000032b06000 CR4: 00000000003526f0 Call Trace: <IRQ> __sk_destruct+0x86/0x660 net/core/sock.c:2339 rcu_do_batch kernel/rcu/tree.c:2605 [inline] rcu_core+0xca8/0x1770 kernel/rcu/tree.c:2861 handle_softirqs+0x286/0x870 kernel/softirq.c:579 __do_softirq kernel/softirq.c:613 [inline] invoke_softirq kernel/softirq.c:453 [inline] __irq_exit_rcu+0xca/0x1f0 kernel/softirq.c:680 irq_exit_rcu+0x9/0x30 kernel/softirq.c:696 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1052 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1052 </IRQ> Уязвимость функции sk_msg_free() файла net/ipv4/af_inet.c ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Silence warning when chunk allocation fails in trace_pid_write Syzkaller trigger a fault injection warning: WARNING: CPU: 1 PID: 12326 at tracepoint_add_func+0xbfc/0xeb0 Modules linked in: CPU: 1 UID: 0 PID: 12326 Comm: syz.6.10325 Tainted: G U 6.14.0-rc5-syzkaller #0 Tainted: [U]=USER Hardware name: Google Compute Engine/Google Compute Engine RIP: 0010:tracepoint_add_func+0xbfc/0xeb0 kernel/tracepoint.c:294 Code: 09 fe ff 90 0f 0b 90 0f b6 74 24 43 31 ff 41 bc ea ff ff ff RSP: 0018:ffffc9000414fb48 EFLAGS: 00010283 RAX: 00000000000012a1 RBX: ffffffff8e240ae0 RCX: ffffc90014b78000 RDX: 0000000000080000 RSI: ffffffff81bbd78b RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000001 R12: ffffffffffffffef R13: 0000000000000000 R14: dffffc0000000000 R15: ffffffff81c264f0 FS: 00007f27217f66c0(0000) GS:ffff8880b8700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b2e80dff8 CR3: 00000000268f8000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> tracepoint_probe_register_prio+0xc0/0x110 kernel/tracepoint.c:464 register_trace_prio_sched_switch include/trace/events/sched.h:222 [inline] register_pid_events kernel/trace/trace_events.c:2354 [inline] event_pid_write.isra.0+0x439/0x7a0 kernel/trace/trace_events.c:2425 vfs_write+0x24c/0x1150 fs/read_write.c:677 ksys_write+0x12b/0x250 fs/read_write.c:731 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f We can reproduce the warning by following the steps below: 1. echo 8 >> set_event_notrace_pid. Let tr->filtered_pids owns one pid and register sched_switch tracepoint. 2. echo ' ' >> set_event_pid, and perform fault injection during chunk allocation of trace_pid_list_alloc. Let pid_list with no pid and assign to tr->filtered_pids. 3. echo ' ' >> set_event_pid. Let pid_list is NULL and assign to tr->filtered_pids. 4. echo 9 >> set_event_pid, will trigger the double register sched_switch tracepoint warning. The reason is that syzkaller injects a fault into the chunk allocation in trace_pid_list_alloc, causing a failure in trace_pid_list_set, which may trigger double register of the same tracepoint. This only occurs when the system is about to crash, but to suppress this warning, let's add failure handling logic to trace_pid_list_set. Уязвимость компонента trace.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/damon/reclaim: avoid divide-by-zero in damon_reclaim_apply_parameters() When creating a new scheme of DAMON_RECLAIM, the calculation of 'min_age_region' uses 'aggr_interval' as the divisor, which may lead to division-by-zero errors. Fix it by directly returning -EINVAL when such a case occurs. Уязвимость компонента reclaim.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: qcom: bam_dma: Fix DT error handling for num-channels/ees When we don't have a clock specified in the device tree, we have no way to ensure the BAM is on. This is often the case for remotely-controlled or remotely-powered BAM instances. In this case, we need to read num-channels from the DT to have all the necessary information to complete probing. However, at the moment invalid device trees without clock and without num-channels still continue probing, because the error handling is missing return statements. The driver will then later try to read the number of channels from the registers. This is unsafe, because it relies on boot firmware and lucky timing to succeed. Unfortunately, the lack of proper error handling here has been abused for several Qualcomm SoCs upstream, causing early boot crashes in several situations [1, 2]. Avoid these early crashes by erroring out when any of the required DT properties are missing. Note that this will break some of the existing DTs upstream (mainly BAM instances related to the crypto engine). However, clearly these DTs have never been tested properly, since the error in the kernel log was just ignored. It's safer to disable the crypto engine for these broken DTBs. [1]: https://lore.kernel.org/r/CY01EKQVWE36.B9X5TDXAREPF@fairphone.com/ [2]: https://lore.kernel.org/r/20230626145959.646747-1-krzysztof.kozlowski@linaro.org/ Уязвимость компонента bam_dma.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix smbdirect_recv_io leak in smbd_negotiate() error path During tests of another unrelated patch I was able to trigger this error: Objects remaining on __kmem_cache_shutdown() Уязвимость компонента smbdirect.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - Set merge to zero early in af_alg_sendmsg If an error causes af_alg_sendmsg to abort, ctx->merge may contain a garbage value from the previous loop. This may then trigger a crash on the next entry into af_alg_sendmsg when it attempts to do a merge that can't be done. Fix this by setting ctx->merge to zero near the start of the loop. Уязвимость компонента af_alg.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: bridge: anx7625: Fix NULL pointer dereference with early IRQ If the interrupt occurs before resource initialization is complete, the interrupt handler/worker may access uninitialized data such as the I2C tcpc_client device, potentially leading to NULL pointer dereference. Уязвимость компонента anx7625.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: rfkill: gpio: Fix crash due to dereferencering uninitialized pointer Since commit 7d5e9737efda ("net: rfkill: gpio: get the name and type from device property") rfkill_find_type() gets called with the possibly uninitialized "const char *type_name;" local variable. On x86 systems when rfkill-gpio binds to a "BCM4752" or "LNV4752" acpi_device, the rfkill->type is set based on the ACPI acpi_device_id: rfkill->type = (unsigned)id->driver_data; and there is no "type" property so device_property_read_string() will fail and leave type_name uninitialized, leading to a potential crash. rfkill_find_type() does accept a NULL pointer, fix the potential crash by initializing type_name to NULL. Note likely sofar this has not been caught because: 1. Not many x86 machines actually have a "BCM4752"/"LNV4752" acpi_device 2. The stack happened to contain NULL where type_name is stored Уязвимость компонента rfkill-gpio.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: q6apm-lpass-dais: Fix NULL pointer dereference if source graph failed If earlier opening of source graph fails (e.g. ADSP rejects due to incorrect audioreach topology), the graph is closed and "dai_data->graph[dai->id]" is assigned NULL. Preparing the DAI for sink graph continues though and next call to q6apm_lpass_dai_prepare() receives dai_data->graph[dai->id]=NULL leading to NULL pointer exception: qcom-apm gprsvc:service:2:1: Error (1) Processing 0x01001002 cmd qcom-apm gprsvc:service:2:1: DSP returned error[1001002] 1 q6apm-lpass-dais 30000000.remoteproc:glink-edge:gpr:service@1:bedais: fail to start APM port 78 q6apm-lpass-dais 30000000.remoteproc:glink-edge:gpr:service@1:bedais: ASoC: error at snd_soc_pcm_dai_prepare on TX_CODEC_DMA_TX_3: -22 Unable to handle kernel NULL pointer dereference at virtual address 00000000000000a8 ... Call trace: q6apm_graph_media_format_pcm+0x48/0x120 (P) q6apm_lpass_dai_prepare+0x110/0x1b4 snd_soc_pcm_dai_prepare+0x74/0x108 __soc_pcm_prepare+0x44/0x160 dpcm_be_dai_prepare+0x124/0x1c0 Уязвимость функции q6apm_lpass_dai_prepare() в модуле sound/soc/qcom/qdsp6/q6apm-lpass-dais.c поддержки звука SoC ядра операционной системы Linux связана с разыменованием указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: smbdirect: verify remaining_data_length respects max_fragmented_recv_size This is inspired by the check for data_offset + data_length. Уязвимость компонента transport_rdma.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: smbdirect: validate data_offset and data_length field of smb_direct_data_transfer If data_offset and data_length of smb_direct_data_transfer struct are invalid, out of bounds issue could happen. This patch validate data_offset and data_length field in recv_done. Уязвимость компонента transport_rdma.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: Fix use-after-free bugs in otx2_sync_tstamp() The original code relies on cancel_delayed_work() in otx2_ptp_destroy(), which does not ensure that the delayed work item synctstamp_work has fully completed if it was already running. This leads to use-after-free scenarios where otx2_ptp is deallocated by otx2_ptp_destroy(), while synctstamp_work remains active and attempts to dereference otx2_ptp in otx2_sync_tstamp(). Furthermore, the synctstamp_work is cyclic, the likelihood of triggering the bug is nonnegligible. A typical race condition is illustrated below: CPU 0 (cleanup) | CPU 1 (delayed work callback) otx2_remove() | otx2_ptp_destroy() | otx2_sync_tstamp() cancel_delayed_work() | kfree(ptp) | | ptp = container_of(...); //UAF | ptp-> //UAF This is confirmed by a KASAN report: BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x7d7/0x8c0 Write of size 8 at addr ffff88800aa09a18 by task bash/136 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcf/0x610 ? __run_timer_base.part.0+0x7d7/0x8c0 kasan_report+0xb8/0xf0 ? __run_timer_base.part.0+0x7d7/0x8c0 __run_timer_base.part.0+0x7d7/0x8c0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? __pfx_read_tsc+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 run_timer_softirq+0xd1/0x190 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... Allocated by task 1: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 otx2_ptp_init+0xb1/0x860 otx2_probe+0x4eb/0xc30 local_pci_probe+0xdc/0x190 pci_device_probe+0x2fe/0x470 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __driver_attach+0xd2/0x310 bus_for_each_dev+0xed/0x170 bus_add_driver+0x208/0x500 driver_register+0x132/0x460 do_one_initcall+0x89/0x300 kernel_init_freeable+0x40d/0x720 kernel_init+0x1a/0x150 ret_from_fork+0x10c/0x1a0 ret_from_fork_asm+0x1a/0x30 Freed by task 136: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x3f/0x50 kfree+0x137/0x370 otx2_ptp_destroy+0x38/0x80 otx2_remove+0x10d/0x4c0 pci_device_remove+0xa6/0x1d0 device_release_driver_internal+0xf8/0x210 pci_stop_bus_device+0x105/0x150 pci_stop_and_remove_bus_device_locked+0x15/0x30 remove_store+0xcc/0xe0 kernfs_fop_write_iter+0x2c3/0x440 vfs_write+0x871/0xd70 ksys_write+0xee/0x1c0 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the delayed work item is properly canceled before the otx2_ptp is deallocated. This bug was initially identified through static analysis. To reproduce and test it, I simulated the OcteonTX2 PCI device in QEMU and introduced artificial delays within the otx2_sync_tstamp() function to increase the likelihood of triggering the bug. Уязвимость компонента otx2_ptp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cnic: Fix use-after-free bugs in cnic_delete_task The original code uses cancel_delayed_work() in cnic_cm_stop_bnx2x_hw(), which does not guarantee that the delayed work item 'delete_task' has fully completed if it was already running. Additionally, the delayed work item is cyclic, the flush_workqueue() in cnic_cm_stop_bnx2x_hw() only blocks and waits for work items that were already queued to the workqueue prior to its invocation. Any work items submitted after flush_workqueue() is called are not included in the set of tasks that the flush operation awaits. This means that after the cyclic work items have finished executing, a delayed work item may still exist in the workqueue. This leads to use-after-free scenarios where the cnic_dev is deallocated by cnic_free_dev(), while delete_task remains active and attempt to dereference cnic_dev in cnic_delete_task(). A typical race condition is illustrated below: CPU 0 (cleanup) | CPU 1 (delayed work callback) cnic_netdev_event() | cnic_stop_hw() | cnic_delete_task() cnic_cm_stop_bnx2x_hw() | ... cancel_delayed_work() | /* the queue_delayed_work() flush_workqueue() | executes after flush_workqueue()*/ | queue_delayed_work() cnic_free_dev(dev)//free | cnic_delete_task() //new instance | dev = cp->dev; //use Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the cyclic delayed work item is properly canceled and that any ongoing execution of the work item completes before the cnic_dev is deallocated. Furthermore, since cancel_delayed_work_sync() uses __flush_work(work, true) to synchronously wait for any currently executing instance of the work item to finish, the flush_workqueue() becomes redundant and should be removed. This bug was identified through static analysis. To reproduce the issue and validate the fix, I simulated the cnic PCI device in QEMU and introduced intentional delays — such as inserting calls to ssleep() within the cnic_delete_task() function — to increase the likelihood of triggering the bug. Уязвимость компонента cnic.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: qed: Don't collect too many protection override GRC elements In the protection override dump path, the firmware can return far too many GRC elements, resulting in attempting to write past the end of the previously-kmalloc'ed dump buffer. This will result in a kernel panic with reason: BUG: unable to handle kernel paging request at ADDRESS where "ADDRESS" is just past the end of the protection override dump buffer. The start address of the buffer is: p_hwfn->cdev->dbg_features[DBG_FEATURE_PROTECTION_OVERRIDE].dump_buf and the size of the buffer is buf_size in the same data structure. The panic can be arrived at from either the qede Ethernet driver path: [exception RIP: qed_grc_dump_addr_range+0x108] qed_protection_override_dump at ffffffffc02662ed [qed] qed_dbg_protection_override_dump at ffffffffc0267792 [qed] qed_dbg_feature at ffffffffc026aa8f [qed] qed_dbg_all_data at ffffffffc026b211 [qed] qed_fw_fatal_reporter_dump at ffffffffc027298a [qed] devlink_health_do_dump at ffffffff82497f61 devlink_health_report at ffffffff8249cf29 qed_report_fatal_error at ffffffffc0272baf [qed] qede_sp_task at ffffffffc045ed32 [qede] process_one_work at ffffffff81d19783 or the qedf storage driver path: [exception RIP: qed_grc_dump_addr_range+0x108] qed_protection_override_dump at ffffffffc068b2ed [qed] qed_dbg_protection_override_dump at ffffffffc068c792 [qed] qed_dbg_feature at ffffffffc068fa8f [qed] qed_dbg_all_data at ffffffffc0690211 [qed] qed_fw_fatal_reporter_dump at ffffffffc069798a [qed] devlink_health_do_dump at ffffffff8aa95e51 devlink_health_report at ffffffff8aa9ae19 qed_report_fatal_error at ffffffffc0697baf [qed] qed_hw_err_notify at ffffffffc06d32d7 [qed] qed_spq_post at ffffffffc06b1011 [qed] qed_fcoe_destroy_conn at ffffffffc06b2e91 [qed] qedf_cleanup_fcport at ffffffffc05e7597 [qedf] qedf_rport_event_handler at ffffffffc05e7bf7 [qedf] fc_rport_work at ffffffffc02da715 [libfc] process_one_work at ffffffff8a319663 Resolve this by clamping the firmware's return value to the maximum number of legal elements the firmware should return. Уязвимость функции qed_protection_override_dump() в модуле drivers/net/ethernet/qlogic/qed/qed_debug.c драйвера сетевых адаптеров Ethernet Qlogic ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: virtio_uml: Fix use-after-free after put_device in probe When register_virtio_device() fails in virtio_uml_probe(), the code sets vu_dev->registered = 1 even though the device was not successfully registered. This can lead to use-after-free or other issues. Уязвимость функции virtio_uml_probe() в модуле arch/um/drivers/virtio_uml.c 1 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cgroup: split cgroup_destroy_wq into 3 workqueues A hung task can occur during [1] LTP cgroup testing when repeatedly mounting/unmounting perf_event and net_prio controllers with systemd.unified_cgroup_hierarchy=1. The hang manifests in cgroup_lock_and_drain_offline() during root destruction. Related case: cgroup_fj_function_perf_event cgroup_fj_function.sh perf_event cgroup_fj_function_net_prio cgroup_fj_function.sh net_prio Call Trace: cgroup_lock_and_drain_offline+0x14c/0x1e8 cgroup_destroy_root+0x3c/0x2c0 css_free_rwork_fn+0x248/0x338 process_one_work+0x16c/0x3b8 worker_thread+0x22c/0x3b0 kthread+0xec/0x100 ret_from_fork+0x10/0x20 Root Cause: CPU0 CPU1 mount perf_event umount net_prio cgroup1_get_tree cgroup_kill_sb rebind_subsystems // root destruction enqueues // cgroup_destroy_wq // kill all perf_event css // one perf_event css A is dying // css A offline enqueues cgroup_destroy_wq // root destruction will be executed first css_free_rwork_fn cgroup_destroy_root cgroup_lock_and_drain_offline // some perf descendants are dying // cgroup_destroy_wq max_active = 1 // waiting for css A to die Problem scenario: 1. CPU0 mounts perf_event (rebind_subsystems) 2. CPU1 unmounts net_prio (cgroup_kill_sb), queuing root destruction work 3. A dying perf_event CSS gets queued for offline after root destruction 4. Root destruction waits for offline completion, but offline work is blocked behind root destruction in cgroup_destroy_wq (max_active=1) Solution: Split cgroup_destroy_wq into three dedicated workqueues: cgroup_offline_wq – Handles CSS offline operations cgroup_release_wq – Manages resource release cgroup_free_wq – Performs final memory deallocation This separation eliminates blocking in the CSS free path while waiting for offline operations to complete. [1] https://github.com/linux-test-project/ltp/blob/master/runtest/controllers Уязвимость компонента cgroup ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: Clear tcp_sk(sk)->fastopen_rsk in tcp_disconnect(). syzbot reported the splat below where a socket had tcp_sk(sk)->fastopen_rsk in the TCP_ESTABLISHED state. [0] syzbot reused the server-side TCP Fast Open socket as a new client before the TFO socket completes 3WHS: 1. accept() 2. connect(AF_UNSPEC) 3. connect() to another destination As of accept(), sk->sk_state is TCP_SYN_RECV, and tcp_disconnect() changes it to TCP_CLOSE and makes connect() possible, which restarts timers. Since tcp_disconnect() forgot to clear tcp_sk(sk)->fastopen_rsk, the retransmit timer triggered the warning and the intended packet was not retransmitted. Let's call reqsk_fastopen_remove() in tcp_disconnect(). [0]: WARNING: CPU: 2 PID: 0 at net/ipv4/tcp_timer.c:542 tcp_retransmit_timer (net/ipv4/tcp_timer.c:542 (discriminator 7)) Modules linked in: CPU: 2 UID: 0 PID: 0 Comm: swapper/2 Not tainted 6.17.0-rc5-g201825fb4278 #62 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:tcp_retransmit_timer (net/ipv4/tcp_timer.c:542 (discriminator 7)) Code: 41 55 41 54 55 53 48 8b af b8 08 00 00 48 89 fb 48 85 ed 0f 84 55 01 00 00 0f b6 47 12 3c 03 74 0c 0f b6 47 12 3c 04 74 04 90 <0f> 0b 90 48 8b 85 c0 00 00 00 48 89 ef 48 8b 40 30 e8 6a 4f 06 3e RSP: 0018:ffffc900002f8d40 EFLAGS: 00010293 RAX: 0000000000000002 RBX: ffff888106911400 RCX: 0000000000000017 RDX: 0000000002517619 RSI: ffffffff83764080 RDI: ffff888106911400 RBP: ffff888106d5c000 R08: 0000000000000001 R09: ffffc900002f8de8 R10: 00000000000000c2 R11: ffffc900002f8ff8 R12: ffff888106911540 R13: ffff888106911480 R14: ffff888106911840 R15: ffffc900002f8de0 FS: 0000000000000000(0000) GS:ffff88907b768000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f8044d69d90 CR3: 0000000002c30003 CR4: 0000000000370ef0 Call Trace: <IRQ> tcp_write_timer (net/ipv4/tcp_timer.c:738) call_timer_fn (kernel/time/timer.c:1747) __run_timers (kernel/time/timer.c:1799 kernel/time/timer.c:2372) timer_expire_remote (kernel/time/timer.c:2385 kernel/time/timer.c:2376 kernel/time/timer.c:2135) tmigr_handle_remote_up (kernel/time/timer_migration.c:944 kernel/time/timer_migration.c:1035) __walk_groups.isra.0 (kernel/time/timer_migration.c:533 (discriminator 1)) tmigr_handle_remote (kernel/time/timer_migration.c:1096) handle_softirqs (./arch/x86/include/asm/jump_label.h:36 ./include/trace/events/irq.h:142 kernel/softirq.c:580) irq_exit_rcu (kernel/softirq.c:614 kernel/softirq.c:453 kernel/softirq.c:680 kernel/softirq.c:696) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1050 (discriminator 35) arch/x86/kernel/apic/apic.c:1050 (discriminator 35)) </IRQ> Уязвимость функции tcp_disconnect() модуля net/ipv4/tcp.c реализации протокола IPv4 ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: increase scan_ies_len for S1G Currently the S1G capability element is not taken into account for the scan_ies_len, which leads to a buffer length validation failure in ieee80211_prep_hw_scan() and subsequent WARN in __ieee80211_start_scan(). This prevents hw scanning from functioning. To fix ensure we accommodate for the S1G capability length. Уязвимость функции ieee80211_register_hw() ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля mac80211.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль mac80211 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep mac80211 ``` или ``` kmod list | grep mac80211 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod mac80211 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install mac80211 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - Disallow concurrent writes in af_alg_sendmsg Issuing two writes to the same af_alg socket is bogus as the data will be interleaved in an unpredictable fashion. Furthermore, concurrent writes may create inconsistencies in the internal socket state. Disallow this by adding a new ctx->write field that indiciates exclusive ownership for writing. Уязвимость компонента crypto/af_alg.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля af_alg.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль af_alg в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep af_alg ``` или ``` kmod list | grep af_alg ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod af_alg ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install af_alg /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbcon: fix integer overflow in fbcon_do_set_font Fix integer overflow vulnerabilities in fbcon_do_set_font() where font size calculations could overflow when handling user-controlled font parameters. The vulnerabilities occur when: 1. CALC_FONTSZ(h, pitch, charcount) performs h * pith * charcount multiplication with user-controlled values that can overflow. 2. FONT_EXTRA_WORDS * sizeof(int) + size addition can also overflow 3. This results in smaller allocations than expected, leading to buffer overflows during font data copying. Add explicit overflow checking using check_mul_overflow() and check_add_overflow() kernel helpers to safety validate all size calculations before allocation. Уязвимость функции fbcon_set_font() модуля drivers/video/fbdev/core/fbcon.c драйвера устройств кадрового буфера ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: add max boundary check for VF filters There is no check for max filters that VF can request. Add it. Уязвимость компонента i40e ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля i40e.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль i40e в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep i40e ``` или ``` kmod list | grep i40e ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod i40e ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install i40e /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix validation of VF state in get resources VF state I40E_VF_STATE_ACTIVE is not the only state in which VF is actually active so it should not be used to determine if a VF is allowed to obtain resources. Use I40E_VF_STATE_RESOURCES_LOADED that is set only in i40e_vc_get_vf_resources_msg() and cleared during reset. Уязвимость компонента i40e ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix input validation logic for action_meta Fix condition to check 'greater or equal' to prevent OOB dereference. Уязвимость функции i40e_validate_cloud_filter() модуля drivers/net/ethernet/intel/i40e/i40e_virtchnl_pf.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix idx validation in config queues msg Ensure idx is within range of active/initialized TCs when iterating over vf->ch[idx] in i40e_vc_config_queues_msg(). Уязвимость функции i40e_vc_config_queues_msg() модуля drivers/net/ethernet/intel/i40e/i40e_virtchnl_pf.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix idx validation in i40e_validate_queue_map Ensure idx is within range of active/initialized TCs when iterating over vf->ch[idx] in i40e_validate_queue_map(). Уязвимость функции i40e_validate_queue_map() модуля drivers/net/ethernet/intel/i40e/i40e_virtchnl_pf.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: add validation for ring_len param The `ring_len` parameter provided by the virtual function (VF) is assigned directly to the hardware memory context (HMC) without any validation. To address this, introduce an upper boundary check for both Tx and Rx queue lengths. The maximum number of descriptors supported by the hardware is 8k-32. Additionally, enforce alignment constraints: Tx rings must be a multiple of 8, and Rx rings must be a multiple of 32. Уязвимость компонентов i40e ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: futex: Prevent use-after-free during requeue-PI syzbot managed to trigger the following race: T1 T2 futex_wait_requeue_pi() futex_do_wait() schedule() futex_requeue() futex_proxy_trylock_atomic() futex_requeue_pi_prepare() requeue_pi_wake_futex() futex_requeue_pi_complete() /* preempt */ * timeout/ signal wakes T1 * futex_requeue_pi_wakeup_sync() // Q_REQUEUE_PI_LOCKED futex_hash_put() // back to userland, on stack futex_q is garbage /* back */ wake_up_state(q->task, TASK_NORMAL); In this scenario futex_wait_requeue_pi() is able to leave without using futex_q::lock_ptr for synchronization. This can be prevented by reading futex_q::task before updating the futex_q::requeue_state. A reference on the task_struct is not needed because requeue_pi_wake_futex() is invoked with a spinlock_t held which implies a RCU read section. Even if T1 terminates immediately after, the task_struct will remain valid during T2's wake_up_state(). A READ_ONCE on futex_q::task before futex_requeue_pi_complete() is enough because it ensures that the variable is read before the state is updated. Read futex_q::task before updating the requeue state, use it for the following wakeup. Уязвимость функции requeue_pi_wake_futex() модуля kernel/futex/requeue.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: Fix potential use after free in otx2_tc_add_flow() This code calls kfree_rcu(new_node, rcu) and then dereferences "new_node" and then dereferences it on the next line. Two lines later, we take a mutex so I don't think this is an RCU safe region. Re-order it to do the dereferences before queuing up the free. Уязвимость функции otx2_tc_add_flow() модуля drivers/net/ethernet/marvell/octeontx2/nic/otx2_tc.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nexthop: Forbid FDB status change while nexthop is in a group The kernel forbids the creation of non-FDB nexthop groups with FDB nexthops: # ip nexthop add id 1 via 192.0.2.1 fdb # ip nexthop add id 2 group 1 Error: Non FDB nexthop group cannot have fdb nexthops. And vice versa: # ip nexthop add id 3 via 192.0.2.2 dev dummy1 # ip nexthop add id 4 group 3 fdb Error: FDB nexthop group can only have fdb nexthops. However, as long as no routes are pointing to a non-FDB nexthop group, the kernel allows changing the type of a nexthop from FDB to non-FDB and vice versa: # ip nexthop add id 5 via 192.0.2.2 dev dummy1 # ip nexthop add id 6 group 5 # ip nexthop replace id 5 via 192.0.2.2 fdb # echo $? 0 This configuration is invalid and can result in a NPD [1] since FDB nexthops are not associated with a nexthop device: # ip route add 198.51.100.1/32 nhid 6 # ping 198.51.100.1 Fix by preventing nexthop FDB status change while the nexthop is in a group: # ip nexthop add id 7 via 192.0.2.2 dev dummy1 # ip nexthop add id 8 group 7 # ip nexthop replace id 7 via 192.0.2.2 fdb Error: Cannot change nexthop FDB status while in a group. [1] BUG: kernel NULL pointer dereference, address: 00000000000003c0 [...] Oops: Oops: 0000 [#1] SMP CPU: 6 UID: 0 PID: 367 Comm: ping Not tainted 6.17.0-rc6-virtme-gb65678cacc03 #1 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 04/01/2014 RIP: 0010:fib_lookup_good_nhc+0x1e/0x80 [...] Call Trace: <TASK> fib_table_lookup+0x541/0x650 ip_route_output_key_hash_rcu+0x2ea/0x970 ip_route_output_key_hash+0x55/0x80 __ip4_datagram_connect+0x250/0x330 udp_connect+0x2b/0x60 __sys_connect+0x9c/0xd0 __x64_sys_connect+0x18/0x20 do_syscall_64+0xa4/0x2a0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость функции replace_nexthop_single() модуля net/ipv4/nexthop.c реализации протокола IPv4 ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_event: Fix UAF in hci_acl_create_conn_sync This fixes the following UFA in hci_acl_create_conn_sync where a connection still pending is command submission (conn->state == BT_OPEN) maybe freed, also since this also can happen with the likes of hci_le_create_conn_sync fix it as well: BUG: KASAN: slab-use-after-free in hci_acl_create_conn_sync+0x5ef/0x790 net/bluetooth/hci_sync.c:6861 Write of size 2 at addr ffff88805ffcc038 by task kworker/u11:2/9541 CPU: 1 UID: 0 PID: 9541 Comm: kworker/u11:2 Not tainted 6.16.0-rc7 #3 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.10.2-1ubuntu1 04/01/2014 Workqueue: hci3 hci_cmd_sync_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x230 mm/kasan/report.c:480 kasan_report+0x118/0x150 mm/kasan/report.c:593 hci_acl_create_conn_sync+0x5ef/0x790 net/bluetooth/hci_sync.c:6861 hci_cmd_sync_work+0x210/0x3a0 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x70e/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 home/kwqcheii/source/fuzzing/kernel/kasan/linux-6.16-rc7/arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 123736: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x230/0x3d0 mm/slub.c:4359 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] __hci_conn_add+0x233/0x1b30 net/bluetooth/hci_conn.c:939 hci_conn_add_unset net/bluetooth/hci_conn.c:1051 [inline] hci_connect_acl+0x16c/0x4e0 net/bluetooth/hci_conn.c:1634 pair_device+0x418/0xa70 net/bluetooth/mgmt.c:3556 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:727 sock_write_iter+0x258/0x330 net/socket.c:1131 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x54b/0xa90 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 103680: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x62/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2381 [inline] slab_free mm/slub.c:4643 [inline] kfree+0x18e/0x440 mm/slub.c:4842 device_release+0x9c/0x1c0 kobject_cleanup lib/kobject.c:689 [inline] kobject_release lib/kobject.c:720 [inline] kref_put include/linux/kref.h:65 [inline] kobject_put+0x22b/0x480 lib/kobject.c:737 hci_conn_cleanup net/bluetooth/hci_conn.c:175 [inline] hci_conn_del+0x8ff/0xcb0 net/bluetooth/hci_conn.c:1173 hci_conn_complete_evt+0x3c7/0x1040 net/bluetooth/hci_event.c:3199 hci_event_func net/bluetooth/hci_event.c:7477 [inline] hci_event_packet+0x7e0/0x1200 net/bluetooth/hci_event.c:7531 hci_rx_work+0x46a/0xe80 net/bluetooth/hci_core.c:4070 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x70e/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 home/kwqcheii/sour ---truncated--- Уязвимость компонента hci_event ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: mcba_usb: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the mcba_usb driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, mcba_usb_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN frame. This can result in a buffer overflow. The driver will consume cf->len as-is with no further checks on these lines: usb_msg.dlc = cf->len; memcpy(usb_msg.data, cf->data, usb_msg.dlc); Here, cf->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs! Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU. By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента mcba_usb ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля mcba_usb.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль mcba_usb в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep mcba_usb ``` или ``` kmod list | grep mcba_usb ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod mcba_usb ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install mcba_usb /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: sun4i_can: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the sun4i_can driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, sun4ican_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN frame. This can result in a buffer overflow. The driver will consume cf->len as-is with no further checks on this line: dlc = cf->len; Here, cf->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs a couple line below when doing: for (i = 0; i < dlc; i++) writel(cf->data[i], priv->base + (dreg + i * 4)); Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU. By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента sun4i_can.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: hi311x: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the sun4i_can driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, hi3110_hard_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN frame. The driver will consume frame->len as-is with no further checks. This can result in a buffer overflow later on in hi3110_hw_tx() on this line: memcpy(buf + HI3110_FIFO_EXT_DATA_OFF, frame->data, frame->len); Here, frame->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs! Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU. By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента hi311x ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля hi311x.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль hi311x в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep hi311x ``` или ``` kmod list | grep hi311x ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod hi311x ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install hi311x /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: etas_es58x: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the etas_es58x driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)); to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, es58x_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN(FD) frame. This can result in a buffer overflow. For example, using the es581.4 variant, the frame will be dispatched to es581_4_tx_can_msg(), go through the last check at the beginning of this function: if (can_is_canfd_skb(skb)) return -EMSGSIZE; and reach this line: memcpy(tx_can_msg->data, cf->data, cf->len); Here, cf->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs! Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU or CANFD_MTU (depending on the device capabilities). By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента etas_es58x ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля etas_es58x.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль etas_es58x в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep etas_es58x ``` или ``` kmod list | grep etas_es58x ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod etas_es58x ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install etas_es58x /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: rc: fix races with imon_disconnect() Syzbot reports a KASAN issue as below: BUG: KASAN: use-after-free in __create_pipe include/linux/usb.h:1945 [inline] BUG: KASAN: use-after-free in send_packet+0xa2d/0xbc0 drivers/media/rc/imon.c:627 Read of size 4 at addr ffff8880256fb000 by task syz-executor314/4465 CPU: 2 PID: 4465 Comm: syz-executor314 Not tainted 6.0.0-rc1-syzkaller #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.14.0-2 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0xcd/0x134 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:317 [inline] print_report.cold+0x2ba/0x6e9 mm/kasan/report.c:433 kasan_report+0xb1/0x1e0 mm/kasan/report.c:495 __create_pipe include/linux/usb.h:1945 [inline] send_packet+0xa2d/0xbc0 drivers/media/rc/imon.c:627 vfd_write+0x2d9/0x550 drivers/media/rc/imon.c:991 vfs_write+0x2d7/0xdd0 fs/read_write.c:576 ksys_write+0x127/0x250 fs/read_write.c:631 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x35/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd The iMON driver improperly releases the usb_device reference in imon_disconnect without coordinating with active users of the device. Specifically, the fields usbdev_intf0 and usbdev_intf1 are not protected by the users counter (ictx->users). During probe, imon_init_intf0 or imon_init_intf1 increments the usb_device reference count depending on the interface. However, during disconnect, usb_put_dev is called unconditionally, regardless of actual usage. As a result, if vfd_write or other operations are still in progress after disconnect, this can lead to a use-after-free of the usb_device pointer. Thread 1 vfd_write Thread 2 imon_disconnect ... if usb_put_dev(ictx->usbdev_intf0) else usb_put_dev(ictx->usbdev_intf1) ... while send_packet if pipe = usb_sndintpipe( ictx->usbdev_intf0) UAF else pipe = usb_sndctrlpipe( ictx->usbdev_intf0, 0) UAF Guard access to usbdev_intf0 and usbdev_intf1 after disconnect by checking ictx->disconnected in all writer paths. Add early return with -ENODEV in send_packet(), vfd_write(), lcd_write() and display_open() if the device is no longer present. Set and read ictx->disconnected under ictx->lock to ensure memory synchronization. Acquire the lock in imon_disconnect() before setting the flag to synchronize with any ongoing operations. Ensure writers exit early and safely after disconnect before the USB core proceeds with cleanup. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента imon.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: tuner: xc5000: Fix use-after-free in xc5000_release The original code uses cancel_delayed_work() in xc5000_release(), which does not guarantee that the delayed work item timer_sleep has fully completed if it was already running. This leads to use-after-free scenarios where xc5000_release() may free the xc5000_priv while timer_sleep is still active and attempts to dereference the xc5000_priv. A typical race condition is illustrated below: CPU 0 (release thread) | CPU 1 (delayed work callback) xc5000_release() | xc5000_do_timer_sleep() cancel_delayed_work() | hybrid_tuner_release_state(priv) | kfree(priv) | | priv = container_of() // UAF Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the timer_sleep is properly canceled before the xc5000_priv memory is deallocated. A deadlock concern was considered: xc5000_release() is called in a process context and is not holding any locks that the timer_sleep work item might also need. Therefore, the use of the _sync() variant is safe here. This bug was initially identified through static analysis. [hverkuil: fix typo in Subject: tunner -> tuner] Уязвимость функции xc5000_release() модуля drivers/media/tuners/xc5000.c драйвера мультимедийных устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xc5000.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xc5000 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xc5000 ``` или ``` kmod list | grep xc5000 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xc5000 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xc5000 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c: tc358743: Fix use-after-free bugs caused by orphan timer in probe The state->timer is a cyclic timer that schedules work_i2c_poll and delayed_work_enable_hotplug, while rearming itself. Using timer_delete() fails to guarantee the timer isn't still running when destroyed, similarly cancel_delayed_work() cannot ensure delayed_work_enable_hotplug has terminated if already executing. During probe failure after timer initialization, these may continue running as orphans and reference the already-freed tc358743_state object through tc358743_irq_poll_timer. The following is the trace captured by KASAN. BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x7d7/0x8c0 Write of size 8 at addr ffff88800ded83c8 by task swapper/1/0 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcf/0x610 ? __pfx_sched_balance_find_src_group+0x10/0x10 ? __run_timer_base.part.0+0x7d7/0x8c0 kasan_report+0xb8/0xf0 ? __run_timer_base.part.0+0x7d7/0x8c0 __run_timer_base.part.0+0x7d7/0x8c0 ? rcu_sched_clock_irq+0xb06/0x27d0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? try_to_wake_up+0xb15/0x1960 ? tmigr_update_events+0x280/0x740 ? _raw_spin_lock_irq+0x80/0xe0 ? __pfx__raw_spin_lock_irq+0x10/0x10 tmigr_handle_remote_up+0x603/0x7e0 ? __pfx_tmigr_handle_remote_up+0x10/0x10 ? sched_balance_trigger+0x98/0x9f0 ? sched_tick+0x221/0x5a0 ? _raw_spin_lock_irq+0x80/0xe0 ? __pfx__raw_spin_lock_irq+0x10/0x10 ? tick_nohz_handler+0x339/0x440 ? __pfx_tmigr_handle_remote_up+0x10/0x10 __walk_groups.isra.0+0x42/0x150 tmigr_handle_remote+0x1f4/0x2e0 ? __pfx_tmigr_handle_remote+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 ? hrtimer_interrupt+0x322/0x780 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... Allocated by task 141: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 __kmalloc_node_track_caller_noprof+0x198/0x430 devm_kmalloc+0x7b/0x1e0 tc358743_probe+0xb7/0x610 i2c_device_probe+0x51d/0x880 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __device_attach_driver+0x174/0x220 bus_for_each_drv+0x100/0x190 __device_attach+0x206/0x370 bus_probe_device+0x123/0x170 device_add+0xd25/0x1470 i2c_new_client_device+0x7a0/0xcd0 do_one_initcall+0x89/0x300 do_init_module+0x29d/0x7f0 load_module+0x4f48/0x69e0 init_module_from_file+0xe4/0x150 idempotent_init_module+0x320/0x670 __x64_sys_finit_module+0xbd/0x120 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 141: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x3f/0x50 kfree+0x137/0x370 release_nodes+0xa4/0x100 devres_release_group+0x1b2/0x380 i2c_device_probe+0x694/0x880 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __device_attach_driver+0x174/0x220 bus_for_each_drv+0x100/0x190 __device_attach+0x206/0x370 bus_probe_device+0x123/0x170 device_add+0xd25/0x1470 i2c_new_client_device+0x7a0/0xcd0 do_one_initcall+0x89/0x300 do_init_module+0x29d/0x7f0 load_module+0x4f48/0x69e0 init_module_from_file+0xe4/0x150 idempotent_init_module+0x320/0x670 __x64_sys_finit_module+0xbd/0x120 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Replace timer_delete() with timer_delete_sync() and cancel_delayed_work() with cancel_delayed_work_sync() to ensure proper termination of timer and work items before resource cleanup. This bug was initially identified through static analysis. For reproduction and testing, I created a functional emulation of the tc358743 device via a kernel module and introduced faults through the debugfs interface. Уязвимость функции tc358743_probe() модуля drivers/media/i2c/tc358743.c драйвера мультимедийных устройств ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: b2c2: Fix use-after-free causing by irq_check_work in flexcop_pci_remove The original code uses cancel_delayed_work() in flexcop_pci_remove(), which does not guarantee that the delayed work item irq_check_work has fully completed if it was already running. This leads to use-after-free scenarios where flexcop_pci_remove() may free the flexcop_device while irq_check_work is still active and attempts to dereference the device. A typical race condition is illustrated below: CPU 0 (remove) | CPU 1 (delayed work callback) flexcop_pci_remove() | flexcop_pci_irq_check_work() cancel_delayed_work() | flexcop_device_kfree(fc_pci->fc_dev) | | fc = fc_pci->fc_dev; // UAF This is confirmed by a KASAN report: ================================================================== BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x7d7/0x8c0 Write of size 8 at addr ffff8880093aa8c8 by task bash/135 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcf/0x610 ? __run_timer_base.part.0+0x7d7/0x8c0 kasan_report+0xb8/0xf0 ? __run_timer_base.part.0+0x7d7/0x8c0 __run_timer_base.part.0+0x7d7/0x8c0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? __pfx_read_tsc+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 run_timer_softirq+0xd1/0x190 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... Allocated by task 1: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 __kmalloc_noprof+0x1be/0x460 flexcop_device_kmalloc+0x54/0xe0 flexcop_pci_probe+0x1f/0x9d0 local_pci_probe+0xdc/0x190 pci_device_probe+0x2fe/0x470 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __driver_attach+0xd2/0x310 bus_for_each_dev+0xed/0x170 bus_add_driver+0x208/0x500 driver_register+0x132/0x460 do_one_initcall+0x89/0x300 kernel_init_freeable+0x40d/0x720 kernel_init+0x1a/0x150 ret_from_fork+0x10c/0x1a0 ret_from_fork_asm+0x1a/0x30 Freed by task 135: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x3f/0x50 kfree+0x137/0x370 flexcop_device_kfree+0x32/0x50 pci_device_remove+0xa6/0x1d0 device_release_driver_internal+0xf8/0x210 pci_stop_bus_device+0x105/0x150 pci_stop_and_remove_bus_device_locked+0x15/0x30 remove_store+0xcc/0xe0 kernfs_fop_write_iter+0x2c3/0x440 vfs_write+0x871/0xd70 ksys_write+0xee/0x1c0 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the delayed work item is properly canceled and any executing delayed work has finished before the device memory is deallocated. This bug was initially identified through static analysis. To reproduce and test it, I simulated the B2C2 FlexCop PCI device in QEMU and introduced artificial delays within the flexcop_pci_irq_check_work() function to increase the likelihood of triggering the bug. Уязвимость функции flexcop_pci_remove() модуля drivers/media/pci/b2c2/flexcop-pci.c драйвера мультимедийных устройств на шине PCI ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: target_core_configfs: Add length check to avoid buffer overflow A buffer overflow arises from the usage of snprintf to write into the buffer "buf" in target_lu_gp_members_show function located in /drivers/target/target_core_configfs.c. This buffer is allocated with size LU_GROUP_NAME_BUF (256 bytes). snprintf(...) formats multiple strings into buf with the HBA name (hba->hba_group.cg_item), a slash character, a devicename (dev-> dev_group.cg_item) and a newline character, the total formatted string length may exceed the buffer size of 256 bytes. Since snprintf() returns the total number of bytes that would have been written (the length of %s/%sn ), this value may exceed the buffer length (256 bytes) passed to memcpy(), this will ultimately cause function memcpy reporting a buffer overflow error. An additional check of the return value of snprintf() can avoid this buffer overflow. Уязвимость функции target_lu_gp_members_show() модуля drivers/target/target_core_configfs.c драйвера TCM ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mvsas: Fix use-after-free bugs in mvs_work_queue During the detaching of Marvell's SAS/SATA controller, the original code calls cancel_delayed_work() in mvs_free() to cancel the delayed work item mwq->work_q. However, if mwq->work_q is already running, the cancel_delayed_work() may fail to cancel it. This can lead to use-after-free scenarios where mvs_free() frees the mvs_info while mvs_work_queue() is still executing and attempts to access the already-freed mvs_info. A typical race condition is illustrated below: CPU 0 (remove) | CPU 1 (delayed work callback) mvs_pci_remove() | mvs_free() | mvs_work_queue() cancel_delayed_work() | kfree(mvi) | | mvi-> // UAF Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the delayed work item is properly canceled and any executing delayed work item completes before the mvs_info is deallocated. This bug was found by static analysis. Уязвимость функции mvs_free() модуля drivers/scsi/mvsas/mv_init.c драйвера устройств SCSI ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix folio is still mapped when deleted Migration may be raced with fallocating hole. remove_inode_single_folio will unmap the folio if the folio is still mapped. However, it's called without folio lock. If the folio is migrated and the mapped pte has been converted to migration entry, folio_mapped() returns false, and won't unmap it. Due to extra refcount held by remove_inode_single_folio, migration fails, restores migration entry to normal pte, and the folio is mapped again. As a result, we triggered BUG in filemap_unaccount_folio. The log is as follows: BUG: Bad page cache in process hugetlb pfn:156c00 page: refcount:515 mapcount:0 mapping:0000000099fef6e1 index:0x0 pfn:0x156c00 head: order:9 mapcount:1 entire_mapcount:1 nr_pages_mapped:0 pincount:0 aops:hugetlbfs_aops ino:dcc dentry name(?):"my_hugepage_file" flags: 0x17ffffc00000c1(locked|waiters|head|node=0|zone=2|lastcpupid=0x1fffff) page_type: f4(hugetlb) page dumped because: still mapped when deleted CPU: 1 UID: 0 PID: 395 Comm: hugetlb Not tainted 6.17.0-rc5-00044-g7aac71907bde-dirty #484 NONE Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 0.0.0 02/06/2015 Call Trace: <TASK> dump_stack_lvl+0x4f/0x70 filemap_unaccount_folio+0xc4/0x1c0 __filemap_remove_folio+0x38/0x1c0 filemap_remove_folio+0x41/0xd0 remove_inode_hugepages+0x142/0x250 hugetlbfs_fallocate+0x471/0x5a0 vfs_fallocate+0x149/0x380 Hold folio lock before checking if the folio is mapped to avold race with migration. Уязвимость функции remove_inode_single_folio() модуля fs/hugetlbfs/inode.c ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kmsan: fix out-of-bounds access to shadow memory Running sha224_kunit on a KMSAN-enabled kernel results in a crash in kmsan_internal_set_shadow_origin(): BUG: unable to handle page fault for address: ffffbc3840291000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 1810067 P4D 1810067 PUD 192d067 PMD 3c17067 PTE 0 Oops: 0000 [#1] SMP NOPTI CPU: 0 UID: 0 PID: 81 Comm: kunit_try_catch Tainted: G N 6.17.0-rc3 #10 PREEMPT(voluntary) Tainted: [N]=TEST Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.17.0-0-gb52ca86e094d-prebuilt.qemu.org 04/01/2014 RIP: 0010:kmsan_internal_set_shadow_origin+0x91/0x100 [...] Call Trace: <TASK> __msan_memset+0xee/0x1a0 sha224_final+0x9e/0x350 test_hash_buffer_overruns+0x46f/0x5f0 ? kmsan_get_shadow_origin_ptr+0x46/0xa0 ? __pfx_test_hash_buffer_overruns+0x10/0x10 kunit_try_run_case+0x198/0xa00 This occurs when memset() is called on a buffer that is not 4-byte aligned and extends to the end of a guard page, i.e. the next page is unmapped. The bug is that the loop at the end of kmsan_internal_set_shadow_origin() accesses the wrong shadow memory bytes when the address is not 4-byte aligned. Since each 4 bytes are associated with an origin, it rounds the address and size so that it can access all the origins that contain the buffer. However, when it checks the corresponding shadow bytes for a particular origin, it incorrectly uses the original unrounded shadow address. This results in reads from shadow memory beyond the end of the buffer's shadow memory, which crashes when that memory is not mapped. To fix this, correctly align the shadow address before accessing the 4 shadow bytes corresponding to each origin. Уязвимость модулей mm/kmsan/core.c и mm/kmsan/kmsan_test.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: afs: Fix potential null pointer dereference in afs_put_server afs_put_server() accessed server->debug_id before the NULL check, which could lead to a null pointer dereference. Move the debug_id assignment, ensuring we never dereference a NULL server pointer. Уязвимость функции afs_put_server afs_put_server() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/gma500: Fix null dereference in hdmi teardown pci_set_drvdata sets the value of pdev->driver_data to NULL, after which the driver_data obtained from the same dev is dereferenced in oaktrail_hdmi_i2c_exit, and the i2c_dev is extracted from it. To prevent this, swap these calls. Found by Linux Verification Center (linuxtesting.org) with Svacer. Уязвимость модуля drivers/gpu/drm/gma500/oaktrail_hdmi.c ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: audioreach: fix potential null pointer dereference It is possible that the topology parsing function audioreach_widget_load_module_common() could return NULL or an error pointer. Add missing NULL check so that we do not dereference it. Уязвимость функции audioreach_widget_load_module_common() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvs: Defer ip_vs_ftp unregister during netns cleanup On the netns cleanup path, __ip_vs_ftp_exit() may unregister ip_vs_ftp before connections with valid cp->app pointers are flushed, leading to a use-after-free. Fix this by introducing a global `exiting_module` flag, set to true in ip_vs_ftp_exit() before unregistering the pernet subsystem. In __ip_vs_ftp_exit(), skip ip_vs_ftp unregister if called during netns cleanup (when exiting_module is false) and defer it to __ip_vs_cleanup_batch(), which unregisters all apps after all connections are flushed. If called during module exit, unregister ip_vs_ftp immediately. Уязвимость компонента net/netfilter/ipvs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ip_vs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ip_vs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ip_vs ``` или ``` kmod list | grep ip_vs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ip_vs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ip_vs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: essiv - Check ssize for decryption and in-place encryption Move the ssize check to the start in essiv_aead_crypt so that it's also checked for decryption and in-place encryption. Уязвимость функции essiv_aead_crypt() компонента essiv ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля essiv.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль essiv в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep essiv ``` или ``` kmod list | grep essiv ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod essiv ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install essiv /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: peak_usb: fix shift-out-of-bounds issue Explicitly uses a 64-bit constant when the number of bits used for its shifting is 32 (which is the case for PC CAN FD interfaces supported by this driver). [mkl: update subject, apply manually] Уязвимость функции peak_usb_update_ts_now() модуля drivers/net/can/usb/peak_usb/pcan_usb_core.c драйвера сетевых устройств CAN ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: dynevent: Add a missing lockdown check on dynevent Since dynamic_events interface on tracefs is compatible with kprobe_events and uprobe_events, it should also check the lockdown status and reject if it is set. Уязвимость функции dyn_event_open() модуля kernel/trace/trace_dynevent.c поддержки трассировки ядра операционной системы Linux связана с отсутствием проверки состояния. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - Fix incorrect boolean values in af_alg_ctx Commit 1b34cbbf4f01 ("crypto: af_alg - Disallow concurrent writes in af_alg_sendmsg") changed some fields from bool to 1-bit bitfields of type u32. However, some assignments to these fields, specifically 'more' and 'merge', assign values greater than 1. These relied on C's implicit conversion to bool, such that zero becomes false and nonzero becomes true. With a 1-bit bitfields of type u32 instead, mod 2 of the value is taken instead, resulting in 0 being assigned in some cases when 1 was intended. Fix this by restoring the bool type. Уязвимость компонента if_alg.h ядра операционной системы Linux связана с ошибками преобразования типов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Don't (re)check L1 intercepts when completing userspace I/O When completing emulation of instruction that generated a userspace exit for I/O, don't recheck L1 intercepts as KVM has already finished that phase of instruction execution, i.e. has already committed to allowing L2 to perform I/O. If L1 (or host userspace) modifies the I/O permission bitmaps during the exit to userspace, KVM will treat the access as being intercepted despite already having emulated the I/O access. Pivot on EMULTYPE_NO_DECODE to detect that KVM is completing emulation. Of the three users of EMULTYPE_NO_DECODE, only complete_emulated_io() (the intended "recipient") can reach the code in question. gp_interception()'s use is mutually exclusive with is_guest_mode(), and complete_emulated_insn_gp() unconditionally pairs EMULTYPE_NO_DECODE with EMULTYPE_SKIP. The bad behavior was detected by a syzkaller program that toggles port I/O interception during the userspace I/O exit, ultimately resulting in a WARN on vcpu->arch.pio.count being non-zero due to KVM no completing emulation of the I/O instruction. WARNING: CPU: 23 PID: 1083 at arch/x86/kvm/x86.c:8039 emulator_pio_in_out+0x154/0x170 [kvm] Modules linked in: kvm_intel kvm irqbypass CPU: 23 UID: 1000 PID: 1083 Comm: repro Not tainted 6.16.0-rc5-c1610d2d66b1-next-vm #74 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:emulator_pio_in_out+0x154/0x170 [kvm] PKRU: 55555554 Call Trace: <TASK> kvm_fast_pio+0xd6/0x1d0 [kvm] vmx_handle_exit+0x149/0x610 [kvm_intel] kvm_arch_vcpu_ioctl_run+0xda8/0x1ac0 [kvm] kvm_vcpu_ioctl+0x244/0x8c0 [kvm] __x64_sys_ioctl+0x8a/0xd0 do_syscall_64+0x5d/0xc60 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> Уязвимость функции complete_emulated_io() ядра операционной системы Linux связана с ошибками обработки разрешений. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.9) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/9p: fix double req put in p9_fd_cancelled Syzkaller reports a KASAN issue as below: general protection fault, probably for non-canonical address 0xfbd59c0000000021: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: maybe wild-memory-access in range [0xdead000000000108-0xdead00000000010f] CPU: 0 PID: 5083 Comm: syz-executor.2 Not tainted 6.1.134-syzkaller-00037-g855bd1d7d838 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:__list_del include/linux/list.h:114 [inline] RIP: 0010:__list_del_entry include/linux/list.h:137 [inline] RIP: 0010:list_del include/linux/list.h:148 [inline] RIP: 0010:p9_fd_cancelled+0xe9/0x200 net/9p/trans_fd.c:734 Call Trace: <TASK> p9_client_flush+0x351/0x440 net/9p/client.c:614 p9_client_rpc+0xb6b/0xc70 net/9p/client.c:734 p9_client_version net/9p/client.c:920 [inline] p9_client_create+0xb51/0x1240 net/9p/client.c:1027 v9fs_session_init+0x1f0/0x18f0 fs/9p/v9fs.c:408 v9fs_mount+0xba/0xcb0 fs/9p/vfs_super.c:126 legacy_get_tree+0x108/0x220 fs/fs_context.c:632 vfs_get_tree+0x8e/0x300 fs/super.c:1573 do_new_mount fs/namespace.c:3056 [inline] path_mount+0x6a6/0x1e90 fs/namespace.c:3386 do_mount fs/namespace.c:3399 [inline] __do_sys_mount fs/namespace.c:3607 [inline] __se_sys_mount fs/namespace.c:3584 [inline] __x64_sys_mount+0x283/0x300 fs/namespace.c:3584 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 This happens because of a race condition between: - The 9p client sending an invalid flush request and later cleaning it up; - The 9p client in p9_read_work() canceled all pending requests. Thread 1 Thread 2 ... p9_client_create() ... p9_fd_create() ... p9_conn_create() ... // start Thread 2 INIT_WORK(&m->rq, p9_read_work); p9_read_work() ... p9_client_rpc() ... ... p9_conn_cancel() ... spin_lock(&m->req_lock); ... p9_fd_cancelled() ... ... spin_unlock(&m->req_lock); // status rewrite p9_client_cb(m->client, req, REQ_STATUS_ERROR) // first remove list_del(&req->req_list); ... spin_lock(&m->req_lock) ... // second remove list_del(&req->req_list); spin_unlock(&m->req_lock) ... Commit 74d6a5d56629 ("9p/trans_fd: Fix concurrency del of req_list in p9_fd_cancelled/p9_read_work") fixes a concurrency issue in the 9p filesystem client where the req_list could be deleted simultaneously by both p9_read_work and p9_fd_cancelled functions, but for the case where req->status equals REQ_STATUS_RCVD. Update the check for req->status in p9_fd_cancelled to skip processing not just received requests, but anything that is not SENT, as whatever changed the state from SENT also removed the request from its list. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. [updated the check from status == RECV || status == ERROR to status != SENT] Уязвимость функции p9_read_work() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: fsl-mc: Check return value of platform_get_resource() platform_get_resource() returns NULL in case of failure, so check its return value and propagate the error in order to prevent NULL pointer dereference. Уязвимость функции platform_get_resource() ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: check the return value of pinmux_ops::get_function_name() While the API contract in docs doesn't specify it explicitly, the generic implementation of the get_function_name() callback from struct pinmux_ops - pinmux_generic_get_function_name() - can fail and return NULL. This is already checked in pinmux_check_ops() so add a similar check in pinmux_func_name_to_selector() instead of passing the returned pointer right down to strcmp() where the NULL can get dereferenced. This is normal operation when adding new pinfunctions. Уязвимость функции pinmux_func_name_to_selector() модуля drivers/pinctrl/pinmux.c драйвера контроллеров выводов PINCTRL ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: pci-epf-test: Add NULL check for DMA channels before release The fields dma_chan_tx and dma_chan_rx of the struct pci_epf_test can be NULL even after EPF initialization. Then it is prudent to check that they have non-NULL values before releasing the channels. Add the checks in pci_epf_test_clean_dma_chan(). Without the checks, NULL pointer dereferences happen and they can lead to a kernel panic in some cases: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000050 Call trace: dma_release_channel+0x2c/0x120 (P) pci_epf_test_epc_deinit+0x94/0xc0 [pci_epf_test] pci_epc_deinit_notify+0x74/0xc0 tegra_pcie_ep_pex_rst_irq+0x250/0x5d8 irq_thread_fn+0x34/0xb8 irq_thread+0x18c/0x2e8 kthread+0x14c/0x210 ret_from_fork+0x10/0x20 [mani: trimmed the stack trace] Уязвимость функции pci_epf_test_clean_dma_chan() модуля drivers/pci/endpoint/functions/pci-epf-test.c драйвера устройств PCI ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: uinput - zero-initialize uinput_ff_upload_compat to avoid info leak Struct ff_effect_compat is embedded twice inside uinput_ff_upload_compat, contains internal padding. In particular, there is a hole after struct ff_replay to satisfy alignment requirements for the following union member. Without clearing the structure, copy_to_user() may leak stack data to userspace. Initialize ff_up_compat to zero before filling valid fields. Уязвимость функции uinput_ff_upload_to_user() модуля drivers/input/misc/uinput.c драйвера устройств ввода ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: fastrpc: fix possible map leak in fastrpc_put_args copy_to_user() failure would cause an early return without cleaning up the fdlist, which has been updated by the DSP. This could lead to map leak. Fix this by redirecting to a cleanup path on failure, ensuring that all mapped buffers are properly released before returning. Уязвимость функции fastrpc_put_args() модуля drivers/misc/fastrpc.c ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/ksm: fix flag-dropping behavior in ksm_madvise syzkaller discovered the following crash: (kernel BUG) [ 44.607039] ------------[ cut here ]------------ [ 44.607422] kernel BUG at mm/userfaultfd.c:2067! [ 44.608148] Oops: invalid opcode: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 44.608814] CPU: 1 UID: 0 PID: 2475 Comm: reproducer Not tainted 6.16.0-rc6 #1 PREEMPT(none) [ 44.609635] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 44.610695] RIP: 0010:userfaultfd_release_all+0x3a8/0x460 <snip other registers, drop unreliable trace> [ 44.617726] Call Trace: [ 44.617926] <TASK> [ 44.619284] userfaultfd_release+0xef/0x1b0 [ 44.620976] __fput+0x3f9/0xb60 [ 44.621240] fput_close_sync+0x110/0x210 [ 44.622222] __x64_sys_close+0x8f/0x120 [ 44.622530] do_syscall_64+0x5b/0x2f0 [ 44.622840] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 44.623244] RIP: 0033:0x7f365bb3f227 Kernel panics because it detects UFFD inconsistency during userfaultfd_release_all(). Specifically, a VMA which has a valid pointer to vma->vm_userfaultfd_ctx, but no UFFD flags in vma->vm_flags. The inconsistency is caused in ksm_madvise(): when user calls madvise() with MADV_UNMEARGEABLE on a VMA that is registered for UFFD in MINOR mode, it accidentally clears all flags stored in the upper 32 bits of vma->vm_flags. Assuming x86_64 kernel build, unsigned long is 64-bit and unsigned int and int are 32-bit wide. This setup causes the following mishap during the &= ~VM_MERGEABLE assignment. VM_MERGEABLE is a 32-bit constant of type unsigned int, 0x8000'0000. After ~ is applied, it becomes 0x7fff'ffff unsigned int, which is then promoted to unsigned long before the & operation. This promotion fills upper 32 bits with leading 0s, as we're doing unsigned conversion (and even for a signed conversion, this wouldn't help as the leading bit is 0). & operation thus ends up AND-ing vm_flags with 0x0000'0000'7fff'ffff instead of intended 0xffff'ffff'7fff'ffff and hence accidentally clears the upper 32-bits of its value. Fix it by changing `VM_MERGEABLE` constant to unsigned long, using the BIT() macro. Note: other VM_* flags are not affected: This only happens to the VM_MERGEABLE flag, as the other VM_* flags are all constants of type int and after ~ operation, they end up with leading 1 and are thus converted to unsigned long with leading 1s. Note 2: After commit 31defc3b01d9 ("userfaultfd: remove (VM_)BUG_ON()s"), this is no longer a kernel BUG, but a WARNING at the same place: [ 45.595973] WARNING: CPU: 1 PID: 2474 at mm/userfaultfd.c:2067 but the root-cause (flag-drop) remains the same. [akpm@linux-foundation.org: rust bindgen wasn't able to handle BIT(), from Miguel] Уязвимость макроопределения VM_MERGEABLE в модуле include/linux/mm.h ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix race condition in kprobe initialization causing NULL pointer dereference There is a critical race condition in kprobe initialization that can lead to NULL pointer dereference and kernel crash. [1135630.084782] Unable to handle kernel paging request at virtual address 0000710a04630000 ... [1135630.260314] pstate: 404003c9 (nZcv DAIF +PAN -UAO) [1135630.269239] pc : kprobe_perf_func+0x30/0x260 [1135630.277643] lr : kprobe_dispatcher+0x44/0x60 [1135630.286041] sp : ffffaeff4977fa40 [1135630.293441] x29: ffffaeff4977fa40 x28: ffffaf015340e400 [1135630.302837] x27: 0000000000000000 x26: 0000000000000000 [1135630.312257] x25: ffffaf029ed108a8 x24: ffffaf015340e528 [1135630.321705] x23: ffffaeff4977fc50 x22: ffffaeff4977fc50 [1135630.331154] x21: 0000000000000000 x20: ffffaeff4977fc50 [1135630.340586] x19: ffffaf015340e400 x18: 0000000000000000 [1135630.349985] x17: 0000000000000000 x16: 0000000000000000 [1135630.359285] x15: 0000000000000000 x14: 0000000000000000 [1135630.368445] x13: 0000000000000000 x12: 0000000000000000 [1135630.377473] x11: 0000000000000000 x10: 0000000000000000 [1135630.386411] x9 : 0000000000000000 x8 : 0000000000000000 [1135630.395252] x7 : 0000000000000000 x6 : 0000000000000000 [1135630.403963] x5 : 0000000000000000 x4 : 0000000000000000 [1135630.412545] x3 : 0000710a04630000 x2 : 0000000000000006 [1135630.421021] x1 : ffffaeff4977fc50 x0 : 0000710a04630000 [1135630.429410] Call trace: [1135630.434828] kprobe_perf_func+0x30/0x260 [1135630.441661] kprobe_dispatcher+0x44/0x60 [1135630.448396] aggr_pre_handler+0x70/0xc8 [1135630.454959] kprobe_breakpoint_handler+0x140/0x1e0 [1135630.462435] brk_handler+0xbc/0xd8 [1135630.468437] do_debug_exception+0x84/0x138 [1135630.475074] el1_dbg+0x18/0x8c [1135630.480582] security_file_permission+0x0/0xd0 [1135630.487426] vfs_write+0x70/0x1c0 [1135630.493059] ksys_write+0x5c/0xc8 [1135630.498638] __arm64_sys_write+0x24/0x30 [1135630.504821] el0_svc_common+0x78/0x130 [1135630.510838] el0_svc_handler+0x38/0x78 [1135630.516834] el0_svc+0x8/0x1b0 kernel/trace/trace_kprobe.c: 1308 0xffff3df8995039ec <kprobe_perf_func+0x2c>: ldr x21, [x24,#120] include/linux/compiler.h: 294 0xffff3df8995039f0 <kprobe_perf_func+0x30>: ldr x1, [x21,x0] kernel/trace/trace_kprobe.c 1308: head = this_cpu_ptr(call->perf_events); 1309: if (hlist_empty(head)) 1310: return 0; crash> struct trace_event_call -o struct trace_event_call { ... [120] struct hlist_head *perf_events; //(call->perf_event) ... } crash> struct trace_event_call ffffaf015340e528 struct trace_event_call { ... perf_events = 0xffff0ad5fa89f088, //this value is correct, but x21 = 0 ... } Race Condition Analysis: The race occurs between kprobe activation and perf_events initialization: CPU0 CPU1 ==== ==== perf_kprobe_init perf_trace_event_init tp_event->perf_events = list;(1) tp_event->class->reg (2)← KPROBE ACTIVE Debug exception triggers ... kprobe_dispatcher kprobe_perf_func (tk->tp.flags & TP_FLAG_PROFILE) head = this_cpu_ptr(call->perf_events)(3) (perf_events is still NULL) Problem: 1. CPU0 executes (1) assigning tp_event->perf_events = list 2. CPU0 executes (2) enabling kprobe functionality via class->reg() 3. CPU1 triggers and reaches kprobe_dispatcher 4. CPU1 checks TP_FLAG_PROFILE - condition passes (step 2 completed) 5. CPU1 calls kprobe_perf_func() and crashes at (3) because call->perf_events is still NULL CPU1 sees that kprobe functionality is enabled but does not see that perf_events has been assigned. Add pairing read an ---truncated--- Уязвимость функций uprobe_dispatcher() и uretprobe_dispatcher() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: nfc: nci: Add parameter validation for packet data Syzbot reported an uninitialized value bug in nci_init_req, which was introduced by commit 5aca7966d2a7 ("Merge tag 'perf-tools-fixes-for-v6.17-2025-09-16' of git://git.kernel.org/pub/scm/linux/kernel/git/perf/perf-tools"). This bug arises due to very limited and poor input validation that was done at nic_valid_size(). This validation only validates the skb->len (directly reflects size provided at the userspace interface) with the length provided in the buffer itself (interpreted as NCI_HEADER). This leads to the processing of memory content at the address assuming the correct layout per what opcode requires there. This leads to the accesses to buffer of `skb_buff->data` which is not assigned anything yet. Following the same silent drop of packets of invalid sizes at `nic_valid_size()`, add validation of the data in the respective handlers and return error values in case of failure. Release the skb if error values are returned from handlers in `nci_nft_packet` and effectively do a silent drop Possible TODO: because we silently drop the packets, the call to `nci_request` will be waiting for completion of request and will face timeouts. These timeouts can get excessively logged in the dmesg. A proper handling of them may require to export `nci_request_cancel` (or propagate error handling from the nft packets handlers). Уязвимость функции nic_valid_size() ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: udf: fix OOB read in lengthAllocDescs handling When parsing Allocation Extent Descriptor, lengthAllocDescs comes from on-disk data and must be validated against the block size. Crafted or corrupted images may set lengthAllocDescs so that the total descriptor length (sizeof(allocExtDesc) + lengthAllocDescs) exceeds the buffer, leading udf_update_tag() to call crc_itu_t() on out-of-bounds memory and trigger a KASAN use-after-free read. BUG: KASAN: use-after-free in crc_itu_t+0x1d5/0x2b0 lib/crc-itu-t.c:60 Read of size 1 at addr ffff888041e7d000 by task syz-executor317/5309 CPU: 0 UID: 0 PID: 5309 Comm: syz-executor317 Not tainted 6.12.0-rc4-syzkaller-00261-g850925a8133c #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 crc_itu_t+0x1d5/0x2b0 lib/crc-itu-t.c:60 udf_update_tag+0x70/0x6a0 fs/udf/misc.c:261 udf_write_aext+0x4d8/0x7b0 fs/udf/inode.c:2179 extent_trunc+0x2f7/0x4a0 fs/udf/truncate.c:46 udf_truncate_tail_extent+0x527/0x7e0 fs/udf/truncate.c:106 udf_release_file+0xc1/0x120 fs/udf/file.c:185 __fput+0x23f/0x880 fs/file_table.c:431 task_work_run+0x24f/0x310 kernel/task_work.c:239 exit_task_work include/linux/task_work.h:43 [inline] do_exit+0xa2f/0x28e0 kernel/exit.c:939 do_group_exit+0x207/0x2c0 kernel/exit.c:1088 __do_sys_exit_group kernel/exit.c:1099 [inline] __se_sys_exit_group kernel/exit.c:1097 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1097 x64_sys_call+0x2634/0x2640 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Validate the computed total length against epos->bh->b_size. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции udf_update_tag() ядра операционной системы Linux связана с ошибками использования памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uio_hv_generic: Let userspace take care of interrupt mask Remove the logic to set interrupt mask by default in uio_hv_generic driver as the interrupt mask value is supposed to be controlled completely by the user space. If the mask bit gets changed by the driver, concurrently with user mode operating on the ring, the mask bit may be set when it is supposed to be clear, and the user-mode driver will miss an interrupt which will cause a hang. For eg- when the driver sets inbound ring buffer interrupt mask to 1, the host does not interrupt the guest on the UIO VMBus channel. However, setting the mask does not prevent the host from putting a message in the inbound ring buffer. So let’s assume that happens, the host puts a message into the ring buffer but does not interrupt. Subsequently, the user space code in the guest sets the inbound ring buffer interrupt mask to 0, saying “Hey, I’m ready for interrupts”. User space code then calls pread() to wait for an interrupt. Then one of two things happens: * The host never sends another message. So the pread() waits forever. * The host does send another message. But because there’s already a message in the ring buffer, it doesn’t generate an interrupt. This is the correct behavior, because the host should only send an interrupt when the inbound ring buffer transitions from empty to not-empty. Adding an additional message to a ring buffer that is not empty is not supposed to generate an interrupt on the guest. Since the guest is waiting in pread() and not removing messages from the ring buffer, the pread() waits forever. This could be easily reproduced in hv_fcopy_uio_daemon if we delay setting interrupt mask to 0. Similarly if hv_uio_channel_cb() sets the interrupt_mask to 1, there’s a race condition. Once user space empties the inbound ring buffer, but before user space sets interrupt_mask to 0, the host could put another message in the ring buffer but it wouldn’t interrupt. Then the next pread() would hang. Fix these by removing all instances where interrupt_mask is changed, while keeping the one in set_event() unchanged to enable userspace control the interrupt mask by writing 0/1 to /dev/uioX. Уязвимость модуля drivers/uio/uio_hv_generic.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: fix uninit-value in squashfs_get_parent Syzkaller reports a "KMSAN: uninit-value in squashfs_get_parent" bug. This is caused by open_by_handle_at() being called with a file handle containing an invalid parent inode number. In particular the inode number is that of a symbolic link, rather than a directory. Squashfs_get_parent() gets called with that symbolic link inode, and accesses the parent member field. unsigned int parent_ino = squashfs_i(inode)->parent; Because non-directory inodes in Squashfs do not have a parent value, this is uninitialised, and this causes an uninitialised value access. The fix is to initialise parent with the invalid inode 0, which will cause an EINVAL error to be returned. Regular inodes used to share the parent field with the block_list_start field. This is removed in this commit to enable the parent field to contain the invalid inode number 0. Уязвимость функции open_by_handle_at() ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost: vringh: Modify the return value check The return value of copy_from_iter and copy_to_iter can't be negative, check whether the copied lengths are equal. Уязвимость функции copy_from_iter() и copy_to_iter() ядра операционной системы Linux связана с отсутствием проверки кода возврата функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dlink: handle copy_thresh allocation failure The driver did not handle failure of `netdev_alloc_skb_ip_align()`. If the allocation failed, dereferencing `skb->protocol` could lead to a NULL pointer dereference. This patch tries to allocate `skb`. If the allocation fails, it falls back to the normal path. Tested-on: D-Link DGE-550T Rev-A3 Уязвимость функции netdev_alloc_skb_ip_align() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix double free in user_cluster_connect() user_cluster_disconnect() frees "conn->cc_private" which is "lc" but then the error handling frees "lc" a second time. Set "lc" to NULL on this path to avoid a double free. Уязвимость функции user_cluster_connect() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost: vringh: Fix copy_to_iter return value check The return value of copy_to_iter can't be negative, check whether the copied length is equal to the requested length instead of checking for negative values. Уязвимость функции copy_to_iter() ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: coresight: trbe: Return NULL pointer for allocation failures When the TRBE driver fails to allocate a buffer, it currently returns the error code "-ENOMEM". However, the caller etm_setup_aux() only checks for a NULL pointer, so it misses the error. As a result, the driver continues and eventually causes a kernel panic. Fix this by returning a NULL pointer from arm_trbe_alloc_buffer() on allocation failures. This allows that the callers can properly handle the failure. Уязвимость функции etm_setup_aux() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: hisilicon/qm - set NULL to qm->debug.qm_diff_regs When the initialization of qm->debug.acc_diff_reg fails, the probe process does not exit. However, after qm->debug.qm_diff_regs is freed, it is not set to NULL. This can lead to a double free when the remove process attempts to free it again. Therefore, qm->debug.qm_diff_regs should be set to NULL after it is freed. Уязвимость функции platform_get_resource() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: Fix integer overflow in run_unpack() The MFT record relative to the file being opened contains its runlist, an array containing information about the file's location on the physical disk. Analysis of all Call Stack paths showed that the values of the runlist array, from which LCNs are calculated, are not validated before run_unpack function. The run_unpack function decodes the compressed runlist data format from MFT attributes (for example, $DATA), converting them into a runs_tree structure, which describes the mapping of virtual clusters (VCN) to logical clusters (LCN). The NTFS3 subsystem also has a shortcut for deleting files from MFT records - in this case, the RUN_DEALLOCATE command is sent to the run_unpack input, and the function logic provides that all data transferred to the runlist about file or directory is deleted without creating a runs_tree structure. Substituting the runlist in the $DATA attribute of the MFT record for an arbitrary file can lead either to access to arbitrary data on the disk bypassing access checks to them (since the inode access check occurs above) or to destruction of arbitrary data on the disk. Add overflow check for addition operation. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции run_unpack() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pps: fix warning in pps_register_cdev when register device fail Similar to previous commit 2a934fdb01db ("media: v4l2-dev: fix error handling in __video_register_device()"), the release hook should be set before device_register(). Otherwise, when device_register() return error and put_device() try to callback the release function, the below warning may happen. ------------[ cut here ]------------ WARNING: CPU: 1 PID: 4760 at drivers/base/core.c:2567 device_release+0x1bd/0x240 drivers/base/core.c:2567 Modules linked in: CPU: 1 UID: 0 PID: 4760 Comm: syz.4.914 Not tainted 6.17.0-rc3+ #1 NONE RIP: 0010:device_release+0x1bd/0x240 drivers/base/core.c:2567 Call Trace: <TASK> kobject_cleanup+0x136/0x410 lib/kobject.c:689 kobject_release lib/kobject.c:720 [inline] kref_put include/linux/kref.h:65 [inline] kobject_put+0xe9/0x130 lib/kobject.c:737 put_device+0x24/0x30 drivers/base/core.c:3797 pps_register_cdev+0x2da/0x370 drivers/pps/pps.c:402 pps_register_source+0x2f6/0x480 drivers/pps/kapi.c:108 pps_tty_open+0x190/0x310 drivers/pps/clients/pps-ldisc.c:57 tty_ldisc_open+0xa7/0x120 drivers/tty/tty_ldisc.c:432 tty_set_ldisc+0x333/0x780 drivers/tty/tty_ldisc.c:563 tiocsetd drivers/tty/tty_io.c:2429 [inline] tty_ioctl+0x5d1/0x1700 drivers/tty/tty_io.c:2728 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:598 [inline] __se_sys_ioctl fs/ioctl.c:584 [inline] __x64_sys_ioctl+0x194/0x210 fs/ioctl.c:584 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x5f/0x2a0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> Before commit c79a39dc8d06 ("pps: Fix a use-after-free"), pps_register_cdev() call device_create() to create pps->dev, which will init dev->release to device_create_release(). Now the comment is outdated, just remove it. Thanks for the reminder from Calvin Owens, 'kfree_pps' should be removed in pps_register_source() to avoid a double free in the failure case. Уязвимость функции pps_register_cdev() ядра операционной системы Linux связана с раскрытием информации в сообщениях об ошибках. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Explicitly check accesses to bpf_sock_addr Syzkaller found a kernel warning on the following sock_addr program: 0: r0 = 0 1: r2 = *(u32 *)(r1 +60) 2: exit which triggers: verifier bug: error during ctx access conversion (0) This is happening because offset 60 in bpf_sock_addr corresponds to an implicit padding of 4 bytes, right after msg_src_ip4. Access to this padding isn't rejected in sock_addr_is_valid_access and it thus later fails to convert the access. This patch fixes it by explicitly checking the various fields of bpf_sock_addr in sock_addr_is_valid_access. I checked the other ctx structures and is_valid_access functions and didn't find any other similar cases. Other cases of (properly handled) padding are covered in new tests in a subsequent patch. Уязвимость функции bpf_sock_addr() ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nbd: restrict sockets to TCP and UDP Recently, syzbot started to abuse NBD with all kinds of sockets. Commit cf1b2326b734 ("nbd: verify socket is supported during setup") made sure the socket supported a shutdown() method. Explicitely accept TCP and UNIX stream sockets. Уязвимость компонента nbd ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf: arm_spe: Prevent overflow in PERF_IDX2OFF() Cast nr_pages to unsigned long to avoid overflow when handling large AUX buffer sizes (>= 2 GiB). Уязвимость функции PERF_IDX2OFF() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: transport_ipc: validate payload size before reading handle handle_response() dereferences the payload as a 4-byte handle without verifying that the declared payload size is at least 4 bytes. A malformed or truncated message from ksmbd.mountd can lead to a 4-byte read past the declared payload size. Validate the size before dereferencing. This is a minimal fix to guard the initial handle read. Уязвимость компонента transport_ipc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix NULL pointer deference in try_to_register_card In try_to_register_card(), the return value of usb_ifnum_to_if() is passed directly to usb_interface_claimed() without a NULL check, which will lead to a NULL pointer dereference when creating an invalid USB audio device. Fix this by adding a check to ensure the interface pointer is valid before passing it to usb_interface_claimed(). Уязвимость функции get_alias_quirk() модуля sound/usb/card.c поддержки звуковых устройств USB ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: Define a proc_layoutcommit for the FlexFiles layout type Avoid a crash if a pNFS client should happen to send a LAYOUTCOMMIT operation on a FlexFiles layout. Уязвимость функции nfsd4_ff_proc_getdeviceinfo() модуля fs/nfsd/flexfilelayout.c поддержки сетевой файловой системы NFS ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds read in hfsplus_strcasecmp() The hfsplus_strcasecmp() logic can trigger the issue: [ 117.317703][ T9855] ================================================================== [ 117.318353][ T9855] BUG: KASAN: slab-out-of-bounds in hfsplus_strcasecmp+0x1bc/0x490 [ 117.318991][ T9855] Read of size 2 at addr ffff88802160f40c by task repro/9855 [ 117.319577][ T9855] [ 117.319773][ T9855] CPU: 0 UID: 0 PID: 9855 Comm: repro Not tainted 6.17.0-rc6 #33 PREEMPT(full) [ 117.319780][ T9855] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 117.319783][ T9855] Call Trace: [ 117.319785][ T9855] <TASK> [ 117.319788][ T9855] dump_stack_lvl+0x1c1/0x2a0 [ 117.319795][ T9855] ? __virt_addr_valid+0x1c8/0x5c0 [ 117.319803][ T9855] ? __pfx_dump_stack_lvl+0x10/0x10 [ 117.319808][ T9855] ? rcu_is_watching+0x15/0xb0 [ 117.319816][ T9855] ? lock_release+0x4b/0x3e0 [ 117.319821][ T9855] ? __kasan_check_byte+0x12/0x40 [ 117.319828][ T9855] ? __virt_addr_valid+0x1c8/0x5c0 [ 117.319835][ T9855] ? __virt_addr_valid+0x4a5/0x5c0 [ 117.319842][ T9855] print_report+0x17e/0x7e0 [ 117.319848][ T9855] ? __virt_addr_valid+0x1c8/0x5c0 [ 117.319855][ T9855] ? __virt_addr_valid+0x4a5/0x5c0 [ 117.319862][ T9855] ? __phys_addr+0xd3/0x180 [ 117.319869][ T9855] ? hfsplus_strcasecmp+0x1bc/0x490 [ 117.319876][ T9855] kasan_report+0x147/0x180 [ 117.319882][ T9855] ? hfsplus_strcasecmp+0x1bc/0x490 [ 117.319891][ T9855] hfsplus_strcasecmp+0x1bc/0x490 [ 117.319900][ T9855] ? __pfx_hfsplus_cat_case_cmp_key+0x10/0x10 [ 117.319906][ T9855] hfs_find_rec_by_key+0xa9/0x1e0 [ 117.319913][ T9855] __hfsplus_brec_find+0x18e/0x470 [ 117.319920][ T9855] ? __pfx_hfsplus_bnode_find+0x10/0x10 [ 117.319926][ T9855] ? __pfx_hfs_find_rec_by_key+0x10/0x10 [ 117.319933][ T9855] ? __pfx___hfsplus_brec_find+0x10/0x10 [ 117.319942][ T9855] hfsplus_brec_find+0x28f/0x510 [ 117.319949][ T9855] ? __pfx_hfs_find_rec_by_key+0x10/0x10 [ 117.319956][ T9855] ? __pfx_hfsplus_brec_find+0x10/0x10 [ 117.319963][ T9855] ? __kmalloc_noprof+0x2a9/0x510 [ 117.319969][ T9855] ? hfsplus_find_init+0x8c/0x1d0 [ 117.319976][ T9855] hfsplus_brec_read+0x2b/0x120 [ 117.319983][ T9855] hfsplus_lookup+0x2aa/0x890 [ 117.319990][ T9855] ? __pfx_hfsplus_lookup+0x10/0x10 [ 117.320003][ T9855] ? d_alloc_parallel+0x2f0/0x15e0 [ 117.320008][ T9855] ? __lock_acquire+0xaec/0xd80 [ 117.320013][ T9855] ? __pfx_d_alloc_parallel+0x10/0x10 [ 117.320019][ T9855] ? __raw_spin_lock_init+0x45/0x100 [ 117.320026][ T9855] ? __init_waitqueue_head+0xa9/0x150 [ 117.320034][ T9855] __lookup_slow+0x297/0x3d0 [ 117.320039][ T9855] ? __pfx___lookup_slow+0x10/0x10 [ 117.320045][ T9855] ? down_read+0x1ad/0x2e0 [ 117.320055][ T9855] lookup_slow+0x53/0x70 [ 117.320065][ T9855] walk_component+0x2f0/0x430 [ 117.320073][ T9855] path_lookupat+0x169/0x440 [ 117.320081][ T9855] filename_lookup+0x212/0x590 [ 117.320089][ T9855] ? __pfx_filename_lookup+0x10/0x10 [ 117.320098][ T9855] ? strncpy_from_user+0x150/0x290 [ 117.320105][ T9855] ? getname_flags+0x1e5/0x540 [ 117.320112][ T9855] user_path_at+0x3a/0x60 [ 117.320117][ T9855] __x64_sys_umount+0xee/0x160 [ 117.320123][ T9855] ? __pfx___x64_sys_umount+0x10/0x10 [ 117.320129][ T9855] ? do_syscall_64+0xb7/0x3a0 [ 117.320135][ T9855] ? entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 117.320141][ T9855] ? entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 117.320145][ T9855] do_syscall_64+0xf3/0x3a0 [ 117.320150][ T9855] ? exc_page_fault+0x9f/0xf0 [ 117.320154][ T9855] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 117.320158][ T9855] RIP: 0033:0x7f7dd7908b07 [ 117.320163][ T9855] Code: 23 0d 00 f7 d8 64 89 01 48 83 c8 ff c3 66 0f 1f 44 00 00 31 f6 e9 09 00 00 00 66 0f 1f 84 00 00 08 [ 117.320167][ T9855] RSP: 002b:00007ffd5ebd9698 EFLAGS: 00000202 ---truncated--- Уязвимость функции hfsplus_strcasecmp() компонента fs/hfsplus/unicode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_ncm: Refactor bind path to use __free() After an bind/unbind cycle, the ncm->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000020 Call trace: usb_ep_free_request+0x2c/0xec ncm_bind+0x39c/0x3dc usb_add_function+0xcc/0x1f0 configfs_composite_bind+0x468/0x588 gadget_bind_driver+0x104/0x270 really_probe+0x190/0x374 __driver_probe_device+0xa0/0x12c driver_probe_device+0x3c/0x218 __device_attach_driver+0x14c/0x188 bus_for_each_drv+0x10c/0x168 __device_attach+0xfc/0x198 device_initial_probe+0x14/0x24 bus_probe_device+0x94/0x11c device_add+0x268/0x48c usb_add_gadget+0x198/0x28c dwc3_gadget_init+0x700/0x858 __dwc3_set_mode+0x3cc/0x664 process_scheduled_works+0x1d8/0x488 worker_thread+0x244/0x334 kthread+0x114/0x1bc ret_from_fork+0x10/0x20 Уязвимость компонента drivers/usb/gadget/function/f_ncm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_ecm: Refactor bind path to use __free() After an bind/unbind cycle, the ecm->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Уязвимость компонента drivers/usb/gadget/function/f_ecm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_acm: Refactor bind path to use __free() After an bind/unbind cycle, the acm->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000020 Call trace: usb_ep_free_request+0x2c/0xec gs_free_req+0x30/0x44 acm_bind+0x1b8/0x1f4 usb_add_function+0xcc/0x1f0 configfs_composite_bind+0x468/0x588 gadget_bind_driver+0x104/0x270 really_probe+0x190/0x374 __driver_probe_device+0xa0/0x12c driver_probe_device+0x3c/0x218 __device_attach_driver+0x14c/0x188 bus_for_each_drv+0x10c/0x168 __device_attach+0xfc/0x198 device_initial_probe+0x14/0x24 bus_probe_device+0x94/0x11c device_add+0x268/0x48c usb_add_gadget+0x198/0x28c dwc3_gadget_init+0x700/0x858 __dwc3_set_mode+0x3cc/0x664 process_scheduled_works+0x1d8/0x488 worker_thread+0x244/0x334 kthread+0x114/0x1bc ret_from_fork+0x10/0x20 Уязвимость компонента drivers/usb/gadget/function/f_acm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_rndis: Refactor bind path to use __free() After an bind/unbind cycle, the rndis->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Уязвимость компонента drivers/usb/gadget/function/f_rndis.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sched: Fix potential double free in drm_sched_job_add_resv_dependencies When adding dependencies with drm_sched_job_add_dependency(), that function consumes the fence reference both on success and failure, so in the latter case the dma_fence_put() on the error path (xarray failed to expand) is a double free. Interestingly this bug appears to have been present ever since commit ebd5f74255b9 ("drm/sched: Add dependency tracking"), since the code back then looked like this: drm_sched_job_add_implicit_dependencies(): ... for (i = 0; i < fence_count; i++) { ret = drm_sched_job_add_dependency(job, fences[i]); if (ret) break; } for (; i < fence_count; i++) dma_fence_put(fences[i]); Which means for the failing 'i' the dma_fence_put was already a double free. Possibly there were no users at that time, or the test cases were insufficient to hit it. The bug was then only noticed and fixed after commit 9c2ba265352a ("drm/scheduler: use new iterator in drm_sched_job_add_implicit_dependencies v2") landed, with its fixup of commit 4eaf02d6076c ("drm/scheduler: fix drm_sched_job_add_implicit_dependencies"). At that point it was a slightly different flavour of a double free, which commit 963d0b356935 ("drm/scheduler: fix drm_sched_job_add_implicit_dependencies harder") noticed and attempted to fix. But it only moved the double free from happening inside the drm_sched_job_add_dependency(), when releasing the reference not yet obtained, to the caller, when releasing the reference already released by the former in the failure case. As such it is not easy to identify the right target for the fixes tag so lets keep it simple and just continue the chain. While fixing we also improve the comment and explain the reason for taking the reference and not dropping it. Уязвимость функции drm_sched_job_add_resv_dependencies() компонента drivers/gpu/drm/scheduler/sched_main.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cifs: parse_dfs_referrals: prevent oob on malformed input Malicious SMB server can send invalid reply to FSCTL_DFS_GET_REFERRALS - reply smaller than sizeof(struct get_dfs_referral_rsp) - reply with number of referrals smaller than NumberOfReferrals in the header Processing of such replies will cause oob. Return -EINVAL error on such replies to prevent oob-s. Уязвимость функции parse_dfs_referrals() модуля fs/smb/client/misc.c поддержки клиента SMB ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: do not assert we found block group item when creating free space tree Currently, when building a free space tree at populate_free_space_tree(), if we are not using the block group tree feature, we always expect to find block group items (either extent items or a block group item with key type BTRFS_BLOCK_GROUP_ITEM_KEY) when we search the extent tree with btrfs_search_slot_for_read(), so we assert that we found an item. However this expectation is wrong since we can have a new block group created in the current transaction which is still empty and for which we still have not added the block group's item to the extent tree, in which case we do not have any items in the extent tree associated to the block group. The insertion of a new block group's block group item in the extent tree happens at btrfs_create_pending_block_groups() when it calls the helper insert_block_group_item(). This typically is done when a transaction handle is released, committed or when running delayed refs (either as part of a transaction commit or when serving tickets for space reservation if we are low on free space). So remove the assertion at populate_free_space_tree() even when the block group tree feature is not enabled and update the comment to mention this case. Syzbot reported this with the following stack trace: BTRFS info (device loop3 state M): rebuilding free space tree assertion failed: ret == 0 :: 0, in fs/btrfs/free-space-tree.c:1115 ------------[ cut here ]------------ kernel BUG at fs/btrfs/free-space-tree.c:1115! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 1 UID: 0 PID: 6352 Comm: syz.3.25 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 RIP: 0010:populate_free_space_tree+0x700/0x710 fs/btrfs/free-space-tree.c:1115 Code: ff ff e8 d3 (...) RSP: 0018:ffffc9000430f780 EFLAGS: 00010246 RAX: 0000000000000043 RBX: ffff88805b709630 RCX: fea61d0e2e79d000 RDX: 0000000000000000 RSI: 0000000080000000 RDI: 0000000000000000 RBP: ffffc9000430f8b0 R08: ffffc9000430f4a7 R09: 1ffff92000861e94 R10: dffffc0000000000 R11: fffff52000861e95 R12: 0000000000000001 R13: 1ffff92000861f00 R14: dffffc0000000000 R15: 0000000000000000 FS: 00007f424d9fe6c0(0000) GS:ffff888125afc000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fd78ad212c0 CR3: 0000000076d68000 CR4: 00000000003526f0 Call Trace: <TASK> btrfs_rebuild_free_space_tree+0x1ba/0x6d0 fs/btrfs/free-space-tree.c:1364 btrfs_start_pre_rw_mount+0x128f/0x1bf0 fs/btrfs/disk-io.c:3062 btrfs_remount_rw fs/btrfs/super.c:1334 [inline] btrfs_reconfigure+0xaed/0x2160 fs/btrfs/super.c:1559 reconfigure_super+0x227/0x890 fs/super.c:1076 do_remount fs/namespace.c:3279 [inline] path_mount+0xd1a/0xfe0 fs/namespace.c:4027 do_mount fs/namespace.c:4048 [inline] __do_sys_mount fs/namespace.c:4236 [inline] __se_sys_mount+0x313/0x410 fs/namespace.c:4213 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f424e39066a Code: d8 64 89 02 (...) RSP: 002b:00007f424d9fde68 EFLAGS: 00000246 ORIG_RAX: 00000000000000a5 RAX: ffffffffffffffda RBX: 00007f424d9fdef0 RCX: 00007f424e39066a RDX: 0000200000000180 RSI: 0000200000000380 RDI: 0000000000000000 RBP: 0000200000000180 R08: 00007f424d9fdef0 R09: 0000000000000020 R10: 0000000000000020 R11: 0000000000000246 R12: 0000200000000380 R13: 00007f424d9fdeb0 R14: 0000000000000000 R15: 00002000000002c0 </TASK> Modules linked in: ---[ end trace 0000000000000000 ]--- Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: Fix refcount leak for cifs_sb_tlink Fix three refcount inconsistency issues related to `cifs_sb_tlink`. Comments for `cifs_sb_tlink` state that `cifs_put_tlink()` needs to be called after successful calls to `cifs_sb_tlink()`. Three calls fail to update refcount accordingly, leading to possible resource leaks. Уязвимость компонента fs/smb/client ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ixgbevf: fix mailbox API compatibility by negotiating supported features There was backward compatibility in the terms of mailbox API. Various drivers from various OSes supporting 10G adapters from Intel portfolio could easily negotiate mailbox API. This convention has been broken since introducing API 1.4. Commit 0062e7cc955e ("ixgbevf: add VF IPsec offload code") added support for IPSec which is specific only for the kernel ixgbe driver. None of the rest of the Intel 10G PF/VF drivers supports it. And actually lack of support was not included in the IPSec implementation - there were no such code paths. No possibility to negotiate support for the feature was introduced along with introduction of the feature itself. Commit 339f28964147 ("ixgbevf: Add support for new mailbox communication between PF and VF") increasing API version to 1.5 did the same - it introduced code supported specifically by the PF ESX driver. It altered API version for the VF driver in the same time not touching the version defined for the PF ixgbe driver. It led to additional discrepancies, as the code provided within API 1.6 cannot be supported for Linux ixgbe driver as it causes crashes. The issue was noticed some time ago and mitigated by Jake within the commit d0725312adf5 ("ixgbevf: stop attempting IPSEC offload on Mailbox API 1.5"). As a result we have regression for IPsec support and after increasing API to version 1.6 ixgbevf driver stopped to support ESX MBX. To fix this mess add new mailbox op asking PF driver about supported features. Basing on a response determine whether to set support for IPSec and ESX-specific enhanced mailbox. New mailbox op, for compatibility purposes, must be added within new API revision, as API version of OOT PF & VF drivers is already increased to 1.6 and doesn't incorporate features negotiate op. Features negotiation mechanism gives possibility to be extended with new features when needed in the future. Уязвимость компонента drivers/net/ethernet/intel/ixgbevf ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vfs: Don't leak disconnected dentries on umount When user calls open_by_handle_at() on some inode that is not cached, we will create disconnected dentry for it. If such dentry is a directory, exportfs_decode_fh_raw() will then try to connect this dentry to the dentry tree through reconnect_path(). It may happen for various reasons (such as corrupted fs or race with rename) that the call to lookup_one_unlocked() in reconnect_one() will fail to find the dentry we are trying to reconnect and instead create a new dentry under the parent. Now this dentry will not be marked as disconnected although the parent still may well be disconnected (at least in case this inconsistency happened because the fs is corrupted and .. doesn't point to the real parent directory). This creates inconsistency in disconnected flags but AFAICS it was mostly harmless. At least until commit f1ee616214cb ("VFS: don't keep disconnected dentries on d_anon") which removed adding of most disconnected dentries to sb->s_anon list. Thus after this commit cleanup of disconnected dentries implicitely relies on the fact that dput() will immediately reclaim such dentries. However when some leaf dentry isn't marked as disconnected, as in the scenario described above, the reclaim doesn't happen and the dentries are "leaked". Memory reclaim can eventually reclaim them but otherwise they stay in memory and if umount comes first, we hit infamous "Busy inodes after unmount" bug. Make sure all dentries created under a disconnected parent are marked as disconnected as well. Уязвимость ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: fix divide-by-zero in comedi_buf_munge() The comedi_buf_munge() function performs a modulo operation `async->munge_chan %= async->cmd.chanlist_len` without first checking if chanlist_len is zero. If a user program submits a command with chanlist_len set to zero, this causes a divide-by-zero error when the device processes data in the interrupt handler path. Add a check for zero chanlist_len at the beginning of the function, similar to the existing checks for !map and CMDF_RAWDATA flag. When chanlist_len is zero, update munge_count and return early, indicating the data was handled without munging. This prevents potential kernel panics from malformed user commands. Уязвимость функции comedi_buf_munge() модуля drivers/comedi/comedi_buf.c ядра операционной системы Linux связана с недостаточной проверкой входных данных при делении на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: hi311x: fix null pointer dereference when resuming from sleep before interface was enabled This issue is similar to the vulnerability in the `mcp251x` driver, which was fixed in commit 03c427147b2d ("can: mcp251x: fix resume from sleep before interface was brought up"). In the `hi311x` driver, when the device resumes from sleep, the driver schedules `priv->restart_work`. However, if the network interface was not previously enabled, the `priv->wq` (workqueue) is not allocated and initialized, leading to a null pointer dereference. To fix this, we move the allocation and initialization of the workqueue from the `hi3110_open` function to the `hi3110_can_probe` function. This ensures that the workqueue is properly initialized before it is used during device resume. And added logic to destroy the workqueue in the error handling paths of `hi3110_can_probe` and in the `hi3110_can_remove` function to prevent resource leaks. Уязвимость компонента drivers/net/can/spi/hi311x.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: rng - Ensure set_ent is always present Ensure that set_ent is always set since only drbg provides it. Уязвимость ядра операционной системы Linux связана с недостаточной энтропией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix Use-after-free in validation Nodes stored in the validation duplicates hashtable come from an arena allocator that is cleared at the end of vmw_execbuf_process. All nodes are expected to be cleared in vmw_validation_drop_ht but this node escaped because its resource was destroyed prematurely. Уязвимость компонента drivers/gpu/drm/vmwgfx ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpt3sas: Fix crash in transport port remove by using ioc_info() During mpt3sas_transport_port_remove(), messages were logged with dev_printk() against &mpt3sas_port->port->dev. At this point the SAS transport device may already be partially unregistered or freed, leading to a crash when accessing its struct device. Using ioc_info(), which logs via the PCI device (ioc->pdev->dev), guaranteed to remain valid until driver removal. [83428.295776] Oops: general protection fault, probably for non-canonical address 0x6f702f323a33312d: 0000 [#1] SMP NOPTI [83428.295785] CPU: 145 UID: 0 PID: 113296 Comm: rmmod Kdump: loaded Tainted: G OE 6.16.0-rc1+ #1 PREEMPT(voluntary) [83428.295792] Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE [83428.295795] Hardware name: Dell Inc. Precision 7875 Tower/, BIOS 89.1.67 02/23/2024 [83428.295799] RIP: 0010:__dev_printk+0x1f/0x70 [83428.295805] Code: 90 90 90 90 90 90 90 90 90 90 90 0f 1f 44 00 00 49 89 d1 48 85 f6 74 52 4c 8b 46 50 4d 85 c0 74 1f 48 8b 46 68 48 85 c0 74 22 <48> 8b 08 0f b6 7f 01 48 c7 c2 db e8 42 ad 83 ef 30 e9 7b f8 ff ff [83428.295813] RSP: 0018:ff85aeafc3137bb0 EFLAGS: 00010206 [83428.295817] RAX: 6f702f323a33312d RBX: ff4290ee81292860 RCX: 5000cca25103be32 [83428.295820] RDX: ff85aeafc3137bb8 RSI: ff4290eeb1966c00 RDI: ffffffffc1560845 [83428.295823] RBP: ff85aeafc3137c18 R08: 74726f702f303a33 R09: ff85aeafc3137bb8 [83428.295826] R10: ff85aeafc3137b18 R11: ff4290f5bd60fe68 R12: ff4290ee81290000 [83428.295830] R13: ff4290ee6e345de0 R14: ff4290ee81290000 R15: ff4290ee6e345e30 [83428.295833] FS: 00007fd9472a6740(0000) GS:ff4290f5ce96b000(0000) knlGS:0000000000000000 [83428.295837] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [83428.295840] CR2: 00007f242b4db238 CR3: 00000002372b8006 CR4: 0000000000771ef0 [83428.295844] PKRU: 55555554 [83428.295846] Call Trace: [83428.295848] <TASK> [83428.295850] _dev_printk+0x5c/0x80 [83428.295857] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.295863] mpt3sas_transport_port_remove+0x1c7/0x420 [mpt3sas] [83428.295882] _scsih_remove_device+0x21b/0x280 [mpt3sas] [83428.295894] ? _scsih_expander_node_remove+0x108/0x140 [mpt3sas] [83428.295906] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.295910] mpt3sas_device_remove_by_sas_address.part.0+0x8f/0x110 [mpt3sas] [83428.295921] _scsih_expander_node_remove+0x129/0x140 [mpt3sas] [83428.295933] _scsih_expander_node_remove+0x6a/0x140 [mpt3sas] [83428.295944] scsih_remove+0x3f0/0x4a0 [mpt3sas] [83428.295957] pci_device_remove+0x3b/0xb0 [83428.295962] device_release_driver_internal+0x193/0x200 [83428.295968] driver_detach+0x44/0x90 [83428.295971] bus_remove_driver+0x69/0xf0 [83428.295975] pci_unregister_driver+0x2a/0xb0 [83428.295979] _mpt3sas_exit+0x1f/0x300 [mpt3sas] [83428.295991] __do_sys_delete_module.constprop.0+0x174/0x310 [83428.295997] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.296000] ? __x64_sys_getdents64+0x9a/0x110 [83428.296005] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.296009] ? syscall_trace_enter+0xf6/0x1b0 [83428.296014] do_syscall_64+0x7b/0x2c0 [83428.296019] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.296023] entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента drivers/scsi/mpt3sas ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: host: max3421-hcd: Fix error pointer dereference in probe cleanup The kthread_run() function returns error pointers so the max3421_hcd->spi_thread pointer can be either error pointers or NULL. Check for both before dereferencing it. Уязвимость компонента drivers/usb/host/max3421-hcd.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: pm80xx: Fix array-index-out-of-of-bounds on rmmod Since commit f7b705c238d1 ("scsi: pm80xx: Set phy_attached to zero when device is gone") UBSAN reports: UBSAN: array-index-out-of-bounds in drivers/scsi/pm8001/pm8001_sas.c:786:17 index 28 is out of range for type 'pm8001_phy [16]' on rmmod when using an expander. For a direct attached device, attached_phy contains the local phy id. For a device behind an expander, attached_phy contains the remote phy id, not the local phy id. I.e. while pm8001_ha will have pm8001_ha->chip->n_phy local phys, for a device behind an expander, attached_phy can be much larger than pm8001_ha->chip->n_phy (depending on the amount of phys of the expander). E.g. on my system pm8001_ha has 8 phys with phy ids 0-7. One of the ports has an expander connected. The expander has 31 phys with phy ids 0-30. The pm8001_ha->phy array only contains the phys of the HBA. It does not contain the phys of the expander. Thus, it is wrong to use attached_phy to index the pm8001_ha->phy array for a device behind an expander. Thus, we can only clear phy_attached for devices that are directly attached. Уязвимость компонента drivers/scsi/pm8001 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix: hold PM usage ref to avoid PM/MDIO + RTNL deadlock Prevent USB runtime PM (autosuspend) for AX88772* in bind. usbnet enables runtime PM (autosuspend) by default, so disabling it via the usb_driver flag is ineffective. On AX88772B, autosuspend shows no measurable power saving with current driver (no link partner, admin up/down). The ~0.453 W -> ~0.248 W drop on v6.1 comes from phylib powering the PHY off on admin-down, not from USB autosuspend. The real hazard is that with runtime PM enabled, ndo_open() (under RTNL) may synchronously trigger autoresume (usb_autopm_get_interface()) into asix_resume() while the USB PM lock is held. Resume paths then invoke phylink/phylib and MDIO, which also expect RTNL, leading to possible deadlocks or PM lock vs MDIO wake issues. To avoid this, keep the device runtime-PM active by taking a usage reference in ax88772_bind() and dropping it in unbind(). A non-zero PM usage count blocks runtime suspend regardless of userspace policy (.../power/control - pm_runtime_allow/forbid), making this approach robust against sysfs overrides. Holding a runtime-PM usage ref does not affect system-wide suspend; system sleep/resume callbacks continue to run as before. Уязвимость функции ndo_open() модуля drivers/net/usb/asix_devices.c драйвера поддержки сетевых адаптеров USB ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: bytcr_rt5651: Fix invalid quirk input mapping When an invalid value is passed via quirk option, currently bytcr_rt5640 driver just ignores and leaves as is, which may lead to unepxected results like OOB access. This patch adds the sanity check and corrects the input mapping to the certain default value if an invalid value is passed. Уязвимость функции snd_soc_set_dmi_name() модуля sound/soc/intel/boards/bytcr_rt5651.c драйвера звуковой карты bytcr_rt5640 ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Enforce expected_attach_type for tailcall compatibility Yinhao et al. recently reported: Our fuzzer tool discovered an uninitialized pointer issue in the bpf_prog_test_run_xdp() function within the Linux kernel's BPF subsystem. This leads to a NULL pointer dereference when a BPF program attempts to deference the txq member of struct xdp_buff object. The test initializes two programs of BPF_PROG_TYPE_XDP: progA acts as the entry point for bpf_prog_test_run_xdp() and its expected_attach_type can neither be of be BPF_XDP_DEVMAP nor BPF_XDP_CPUMAP. progA calls into a slot of a tailcall map it owns. progB's expected_attach_type must be BPF_XDP_DEVMAP to pass xdp_is_valid_access() validation. The program returns struct xdp_md's egress_ifindex, and the latter is only allowed to be accessed under mentioned expected_attach_type. progB is then inserted into the tailcall which progA calls. The underlying issue goes beyond XDP though. Another example are programs of type BPF_PROG_TYPE_CGROUP_SOCK_ADDR. sock_addr_is_valid_access() as well as sock_addr_func_proto() have different logic depending on the programs' expected_attach_type. Similarly, a program attached to BPF_CGROUP_INET4_GETPEERNAME should not be allowed doing a tailcall into a program which calls bpf_bind() out of BPF which is only enabled for BPF_CGROUP_INET4_CONNECT. In short, specifying expected_attach_type allows to open up additional functionality or restrictions beyond what the basic bpf_prog_type enables. The use of tailcalls must not violate these constraints. Fix it by enforcing expected_attach_type in __bpf_prog_map_compatible(). Note that we only enforce this for tailcall maps, but not for BPF devmaps or cpumaps: There, the programs are invoked through dev_map_bpf_prog_run*() and cpu_map_bpf_prog_run*() which set up a new environment / context and therefore these situations are not prone to this issue. Уязвимость функции bpf_prog_test_run_xdp () модуля kernel/bpf/core.c поддержки интерпретатора BPF ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sparc: fix accurate exception reporting in copy_{from_to}_user for UltraSPARC III Anthony Yznaga tracked down that a BUG_ON in ext4 code with large folios enabled resulted from copy_from_user() returning impossibly large values greater than the size to be copied. This lead to __copy_from_iter() returning impossible values instead of the actual number of bytes it was able to copy. The BUG_ON has been reported in https://lore.kernel.org/r/b14f55642207e63e907965e209f6323a0df6dcee.camel@physik.fu-berlin.de The referenced commit introduced exception handlers on user-space memory references in copy_from_user and copy_to_user. These handlers return from the respective function and calculate the remaining bytes left to copy using the current register contents. The exception handlers expect that %o2 has already been masked during the bulk copy loop, but the masking was performed after that loop. This will fix the return value of copy_from_user and copy_to_user in the faulting case. The behaviour of memcpy stays unchanged. Уязвимость функции copy_from_user() модуля arch/sparc/lib/U3memcpy.S ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-mq: check kobject state_in_sysfs before deleting in blk_mq_unregister_hctx In __blk_mq_update_nr_hw_queues() the return value of blk_mq_sysfs_register_hctxs() is not checked. If sysfs creation for hctx fails, later changing the number of hw_queues or removing disk will trigger the following warning: kernfs: can not remove 'nr_tags', no directory WARNING: CPU: 2 PID: 637 at fs/kernfs/dir.c:1707 kernfs_remove_by_name_ns+0x13f/0x160 Call Trace: remove_files.isra.1+0x38/0xb0 sysfs_remove_group+0x4d/0x100 sysfs_remove_groups+0x31/0x60 __kobject_del+0x23/0xf0 kobject_del+0x17/0x40 blk_mq_unregister_hctx+0x5d/0x80 blk_mq_sysfs_unregister_hctxs+0x94/0xd0 blk_mq_update_nr_hw_queues+0x124/0x760 nullb_update_nr_hw_queues+0x71/0xf0 [null_blk] nullb_device_submit_queues_store+0x92/0x120 [null_blk] kobjct_del() was called unconditionally even if sysfs creation failed. Fix it by checkig the kobject creation statusbefore deleting it. Уязвимость функции __blk_mq_update_nr_hw_queues() модуля block/blk-mq-sysfs.c поддержки блочного уровня ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить привилегии [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sparc: fix accurate exception reporting in copy_{from_to}_user for UltraSPARC The referenced commit introduced exception handlers on user-space memory references in copy_from_user and copy_to_user. These handlers return from the respective function and calculate the remaining bytes left to copy using the current register contents. This commit fixes a couple of bad calculations. This will fix the return value of copy_from_user and copy_to_user in the faulting case. The behaviour of memcpy stays unchanged. Уязвимость функции copy_from_user() и copy_to_user() модуля arch/sparc/lib/U1memcpy.S ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwrng: ks-sa - fix division by zero in ks_sa_rng_init Fix division by zero in ks_sa_rng_init caused by missing clock pointer initialization. The clk_get_rate() call is performed on an uninitialized clk pointer, resulting in division by zero when calculating delay values. Add clock initialization code before using the clock. drivers/char/hw_random/ks-sa-rng.c | 7 +++++++ 1 file changed, 7 insertions(+) Уязвимость функции ks_sa_rng_init() модуля drivers/char/hw_random/ks-sa-rng.c ядра операционной системы Linux связана с ошибками деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm: fix NULL pointer dereference in __dm_suspend() There is a race condition between dm device suspend and table load that can lead to null pointer dereference. The issue occurs when suspend is invoked before table load completes: BUG: kernel NULL pointer dereference, address: 0000000000000054 Oops: 0000 [#1] PREEMPT SMP PTI CPU: 6 PID: 6798 Comm: dmsetup Not tainted 6.6.0-g7e52f5f0ca9b #62 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:blk_mq_wait_quiesce_done+0x0/0x50 Call Trace: <TASK> blk_mq_quiesce_queue+0x2c/0x50 dm_stop_queue+0xd/0x20 __dm_suspend+0x130/0x330 dm_suspend+0x11a/0x180 dev_suspend+0x27e/0x560 ctl_ioctl+0x4cf/0x850 dm_ctl_ioctl+0xd/0x20 vfs_ioctl+0x1d/0x50 __se_sys_ioctl+0x9b/0xc0 __x64_sys_ioctl+0x19/0x30 x64_sys_call+0x2c4a/0x4620 do_syscall_64+0x9e/0x1b0 The issue can be triggered as below: T1 T2 dm_suspend table_load __dm_suspend dm_setup_md_queue dm_mq_init_request_queue blk_mq_init_allocated_queue => q->mq_ops = set->ops; (1) dm_stop_queue / dm_wait_for_completion => q->tag_set NULL pointer! (2) => q->tag_set = set; (3) Fix this by checking if a valid table (map) exists before performing request-based suspend and waiting for target I/O. When map is NULL, skip these table-dependent suspend steps. Even when map is NULL, no I/O can reach any target because there is no table loaded; I/O submitted in this state will fail early in the DM layer. Skipping the table-dependent suspend logic in this case is safe and avoids NULL pointer dereferences. Уязвимость функции __dm_suspend() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: Remove disruptive netif_wake_queue in rtl8150_set_multicast syzbot reported WARNING in rtl8150_start_xmit/usb_submit_urb. This is the sequence of events that leads to the warning: rtl8150_start_xmit() { netif_stop_queue(); usb_submit_urb(dev->tx_urb); } rtl8150_set_multicast() { netif_stop_queue(); netif_wake_queue(); <-- wakes up TX queue before URB is done } rtl8150_start_xmit() { netif_stop_queue(); usb_submit_urb(dev->tx_urb); <-- double submission } rtl8150_set_multicast being the ndo_set_rx_mode callback should not be calling netif_stop_queue and notif_start_queue as these handle TX queue synchronization. The net core function dev_set_rx_mode handles the synchronization for rtl8150_set_multicast making it safe to remove these locks. Уязвимость функции rtl8150_start_xmit() ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: ISO: Fix possible UAF on iso_conn_free This attempt to fix similar issue to sco_conn_free where if the conn->sk is not set to NULL may lead to UAF on iso_conn_free. Уязвимость функции iso_conn_free() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: hugetlb: avoid soft lockup when mprotect to large memory area When calling mprotect() to a large hugetlb memory area in our customer's workload (~300GB hugetlb memory), soft lockup was observed: watchdog: BUG: soft lockup - CPU#98 stuck for 23s! [t2_new_sysv:126916] CPU: 98 PID: 126916 Comm: t2_new_sysv Kdump: loaded Not tainted 6.17-rc7 Hardware name: GIGACOMPUTING R2A3-T40-AAV1/Jefferson CIO, BIOS 5.4.4.1 07/15/2025 pstate: 20400009 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : mte_clear_page_tags+0x14/0x24 lr : mte_sync_tags+0x1c0/0x240 sp : ffff80003150bb80 x29: ffff80003150bb80 x28: ffff00739e9705a8 x27: 0000ffd2d6a00000 x26: 0000ff8e4bc00000 x25: 00e80046cde00f45 x24: 0000000000022458 x23: 0000000000000000 x22: 0000000000000004 x21: 000000011b380000 x20: ffff000000000000 x19: 000000011b379f40 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000000 x10: 0000000000000000 x9 : ffffc875e0aa5e2c x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : fffffc01ce7a5c00 x4 : 00000000046cde00 x3 : fffffc0000000000 x2 : 0000000000000004 x1 : 0000000000000040 x0 : ffff0046cde7c000 Call trace:   mte_clear_page_tags+0x14/0x24   set_huge_pte_at+0x25c/0x280   hugetlb_change_protection+0x220/0x430   change_protection+0x5c/0x8c   mprotect_fixup+0x10c/0x294   do_mprotect_pkey.constprop.0+0x2e0/0x3d4   __arm64_sys_mprotect+0x24/0x44   invoke_syscall+0x50/0x160   el0_svc_common+0x48/0x144   do_el0_svc+0x30/0xe0   el0_svc+0x30/0xf0   el0t_64_sync_handler+0xc4/0x148   el0t_64_sync+0x1a4/0x1a8 Soft lockup is not triggered with THP or base page because there is cond_resched() called for each PMD size. Although the soft lockup was triggered by MTE, it should be not MTE specific. The other processing which takes long time in the loop may trigger soft lockup too. So add cond_resched() for hugetlb to avoid soft lockup. Уязвимость модуля mm/hugetlb.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: bytcr_rt5640: Fix invalid quirk input mapping When an invalid value is passed via quirk option, currently bytcr_rt5640 driver only shows an error message but leaves as is. This may lead to unepxected results like OOB access. This patch corrects the input mapping to the certain default value if an invalid value is passed. Уязвимость модуля sound/soc/intel/boards/bytcr_rt5640.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля snd-soc-core.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль snd-soc-core в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep snd-soc-core ``` или ``` kmod list | grep snd-soc-core ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod snd-soc-core ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install snd-soc-core /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PM / devfreq: mtk-cci: Fix potential error pointer dereference in probe() The drv->sram_reg pointer could be set to ERR_PTR(-EPROBE_DEFER) which would lead to a error pointer dereference. Use IS_ERR_OR_NULL() to check that the pointer is valid. Уязвимость функции probe() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: detect invalid INLINE_DATA + EXTENTS flag combination syzbot reported a BUG_ON in ext4_es_cache_extent() when opening a verity file on a corrupted ext4 filesystem mounted without a journal. The issue is that the filesystem has an inode with both the INLINE_DATA and EXTENTS flags set: EXT4-fs error (device loop0): ext4_cache_extents:545: inode #15: comm syz.0.17: corrupted extent tree: lblk 0 < prev 66 Investigation revealed that the inode has both flags set: DEBUG: inode 15 - flag=1, i_inline_off=164, has_inline=1, extents_flag=1 This is an invalid combination since an inode should have either: - INLINE_DATA: data stored directly in the inode - EXTENTS: data stored in extent-mapped blocks Having both flags causes ext4_has_inline_data() to return true, skipping extent tree validation in __ext4_iget(). The unvalidated out-of-order extents then trigger a BUG_ON in ext4_es_cache_extent() due to integer underflow when calculating hole sizes. Fix this by detecting this invalid flag combination early in ext4_iget() and rejecting the corrupted inode. Уязвимость компонента fs/ext4 ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-fc: move lsop put work to nvmet_fc_ls_req_op It’s possible for more than one async command to be in flight from __nvmet_fc_send_ls_req. For each command, a tgtport reference is taken. In the current code, only one put work item is queued at a time, which results in a leaked reference. To fix this, move the work item to the nvmet_fc_ls_req_op struct, which already tracks all resources related to the command. Уязвимость ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/ip6_tunnel: Prevent perpetual tunnel growth Similarly to ipv4 tunnel, ipv6 version updates dev->needed_headroom, too. While ipv4 tunnel headroom adjustment growth was limited in commit 5ae1e9922bbd ("net: ip_tunnel: prevent perpetual headroom growth"), ipv6 tunnel yet increases the headroom without any ceiling. Reflect ipv4 tunnel headroom adjustment limit on ipv6 version. Credits to Francesco Ruggeri, who was originally debugging this issue and wrote local Arista-specific patch and a reproducer. Уязвимость модулей include/net/ip_tunnels.h, net/ipv4/ip_tunnel.c, net/ipv6/ip6_tunnel.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: wait for pending async decryptions if tls_strp_msg_hold fails Async decryption calls tls_strp_msg_hold to create a clone of the input skb to hold references to the memory it uses. If we fail to allocate that clone, proceeding with async decryption can lead to various issues (UAF on the skb, writing into userspace memory after the recv() call has returned). In this case, wait for all pending decryption requests. Уязвимость функции tls_strp_msg_hold() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pid: Add a judgment for ns null in pid_nr_ns __task_pid_nr_ns ns = task_active_pid_ns(current); pid_nr_ns(rcu_dereference(*task_pid_ptr(task, type)), ns); if (pid && ns->level <= pid->level) { Sometimes null is returned for task_active_pid_ns. Then it will trigger kernel panic in pid_nr_ns. For example: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000058 Mem abort info: ESR = 0x0000000096000007 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x07: level 3 translation fault Data abort info: ISV = 0, ISS = 0x00000007, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 39-bit VAs, pgdp=00000002175aa000 [0000000000000058] pgd=08000002175ab003, p4d=08000002175ab003, pud=08000002175ab003, pmd=08000002175be003, pte=0000000000000000 pstate: 834000c5 (Nzcv daIF +PAN -UAO +TCO +DIT -SSBS BTYPE=--) pc : __task_pid_nr_ns+0x74/0xd0 lr : __task_pid_nr_ns+0x24/0xd0 sp : ffffffc08001bd10 x29: ffffffc08001bd10 x28: ffffffd4422b2000 x27: 0000000000000001 x26: ffffffd442821168 x25: ffffffd442821000 x24: 00000f89492eab31 x23: 00000000000000c0 x22: ffffff806f5693c0 x21: ffffff806f5693c0 x20: 0000000000000001 x19: 0000000000000000 x18: 0000000000000000 x17: 00000000529c6ef0 x16: 00000000529c6ef0 x15: 00000000023a1adc x14: 0000000000000003 x13: 00000000007ef6d8 x12: 001167c391c78800 x11: 00ffffffffffffff x10: 0000000000000000 x9 : 0000000000000001 x8 : ffffff80816fa3c0 x7 : 0000000000000000 x6 : 49534d702d535449 x5 : ffffffc080c4c2c0 x4 : ffffffd43ee128c8 x3 : ffffffd43ee124dc x2 : 0000000000000000 x1 : 0000000000000001 x0 : ffffff806f5693c0 Call trace: __task_pid_nr_ns+0x74/0xd0 ... __handle_irq_event_percpu+0xd4/0x284 handle_irq_event+0x48/0xb0 handle_fasteoi_irq+0x160/0x2d8 generic_handle_domain_irq+0x44/0x60 gic_handle_irq+0x4c/0x114 call_on_irq_stack+0x3c/0x74 do_interrupt_handler+0x4c/0x84 el1_interrupt+0x34/0x58 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x68/0x6c account_kernel_stack+0x60/0x144 exit_task_stack_account+0x1c/0x80 do_exit+0x7e4/0xaf8 ... get_signal+0x7bc/0x8d8 do_notify_resume+0x128/0x828 el0_svc+0x6c/0x70 el0t_64_sync_handler+0x68/0xbc el0t_64_sync+0x1a8/0x1ac Code: 35fffe54 911a02a8 f9400108 b4000128 (b9405a69) ---[ end trace 0000000000000000 ]--- Kernel panic - not syncing: Oops: Fatal exception in interrupt Уязвимость функции pid_nr_ns() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: verify orphan file size is not too big In principle orphan file can be arbitrarily large. However orphan replay needs to traverse it all and we also pin all its buffers in memory. Thus filesystems with absurdly large orphan files can lead to big amounts of memory consumed. Limit orphan file size to a sane value and also use kvmalloc() for allocating array of block descriptor structures to avoid large order allocations for sane but large orphan files. Уязвимость функции kvmalloc() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix metadata_dst leak __bpf_redirect_neigh_v{4,6} Cilium has a BPF egress gateway feature which forces outgoing K8s Pod traffic to pass through dedicated egress gateways which then SNAT the traffic in order to interact with stable IPs outside the cluster. The traffic is directed to the gateway via vxlan tunnel in collect md mode. A recent BPF change utilized the bpf_redirect_neigh() helper to forward packets after the arrival and decap on vxlan, which turned out over time that the kmalloc-256 slab usage in kernel was ever-increasing. The issue was that vxlan allocates the metadata_dst object and attaches it through a fake dst entry to the skb. The latter was never released though given bpf_redirect_neigh() was merely setting the new dst entry via skb_dst_set() without dropping an existing one first. Уязвимость функции bpf_redirect_neigh() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: Don't call reqsk_fastopen_remove() in tcp_conn_request(). syzbot reported the splat below in tcp_conn_request(). [0] If a listener is close()d while a TFO socket is being processed in tcp_conn_request(), inet_csk_reqsk_queue_add() does not set reqsk->sk and calls inet_child_forget(), which calls tcp_disconnect() for the TFO socket. After the cited commit, tcp_disconnect() calls reqsk_fastopen_remove(), where reqsk_put() is called due to !reqsk->sk. Then, reqsk_fastopen_remove() in tcp_conn_request() decrements the last req->rsk_refcnt and frees reqsk, and __reqsk_free() at the drop_and_free label causes the refcount underflow for the listener and double-free of the reqsk. Let's remove reqsk_fastopen_remove() in tcp_conn_request(). Note that other callers make sure tp->fastopen_rsk is not NULL. [0]: refcount_t: underflow; use-after-free. WARNING: CPU: 12 PID: 5563 at lib/refcount.c:28 refcount_warn_saturate (lib/refcount.c:28) Modules linked in: CPU: 12 UID: 0 PID: 5563 Comm: syz-executor Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:refcount_warn_saturate (lib/refcount.c:28) Code: ab e8 8e b4 98 ff 0f 0b c3 cc cc cc cc cc 80 3d a4 e4 d6 01 00 75 9c c6 05 9b e4 d6 01 01 48 c7 c7 e8 df fb ab e8 6a b4 98 ff <0f> 0b e9 03 5b 76 00 cc 80 3d 7d e4 d6 01 00 0f 85 74 ff ff ff c6 RSP: 0018:ffffa79fc0304a98 EFLAGS: 00010246 RAX: d83af4db1c6b3900 RBX: ffff9f65c7a69020 RCX: d83af4db1c6b3900 RDX: 0000000000000000 RSI: 00000000ffff7fff RDI: ffffffffac78a280 RBP: 000000009d781b60 R08: 0000000000007fff R09: ffffffffac6ca280 R10: 0000000000017ffd R11: 0000000000000004 R12: ffff9f65c7b4f100 R13: ffff9f65c7d23c00 R14: ffff9f65c7d26000 R15: ffff9f65c7a64ef8 FS: 00007f9f962176c0(0000) GS:ffff9f65fcf00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000200000000180 CR3: 000000000dbbe006 CR4: 0000000000372ef0 Call Trace: <IRQ> tcp_conn_request (./include/linux/refcount.h:400 ./include/linux/refcount.h:432 ./include/linux/refcount.h:450 ./include/net/sock.h:1965 ./include/net/request_sock.h:131 net/ipv4/tcp_input.c:7301) tcp_rcv_state_process (net/ipv4/tcp_input.c:6708) tcp_v6_do_rcv (net/ipv6/tcp_ipv6.c:1670) tcp_v6_rcv (net/ipv6/tcp_ipv6.c:1906) ip6_protocol_deliver_rcu (net/ipv6/ip6_input.c:438) ip6_input (net/ipv6/ip6_input.c:500) ipv6_rcv (net/ipv6/ip6_input.c:311) __netif_receive_skb (net/core/dev.c:6104) process_backlog (net/core/dev.c:6456) __napi_poll (net/core/dev.c:7506) net_rx_action (net/core/dev.c:7569 net/core/dev.c:7696) handle_softirqs (kernel/softirq.c:579) do_softirq (kernel/softirq.c:480) </IRQ> Уязвимость функции reqsk_fastopen_remove() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sctp: fix a null dereference in sctp_disposition sctp_sf_do_5_1D_ce() If new_asoc->peer.adaptation_ind=0 and sctp_ulpevent_make_authkey=0 and sctp_ulpevent_make_authkey() returns 0, then the variable ai_ev remains zero and the zero will be dereferenced in the sctp_ulpevent_free() function. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pwm: berlin: Fix wrong register in suspend/resume The 'enable' register should be BERLIN_PWM_EN rather than BERLIN_PWM_ENABLE, otherwise, the driver accesses wrong address, there will be cpu exception then kernel panic during suspend/resume. Уязвимость модуля drivers/pwm/pwm-berlin.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: guard against EA inode refcount underflow in xattr update syzkaller found a path where ext4_xattr_inode_update_ref() reads an EA inode refcount that is already <= 0 and then applies ref_change (often -1). That lets the refcount underflow and we proceed with a bogus value, triggering errors like: EXT4-fs error: EA inode <n> ref underflow: ref_count=-1 ref_change=-1 EXT4-fs warning: ea_inode dec ref err=-117 Make the invariant explicit: if the current refcount is non-positive, treat this as on-disk corruption, emit ext4_error_inode(), and fail the operation with -EFSCORRUPTED instead of updating the refcount. Delete the WARN_ONCE() as negative refcounts are now impossible; keep error reporting in ext4_error_inode(). This prevents the underflow and the follow-on orphan/cleanup churn. Уязвимость функции ext4_xattr_inode_update_ref() ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xtensa: simdisk: add input size check in proc_write_simdisk A malicious user could pass an arbitrarily bad value to memdup_user_nul(), potentially causing kernel crash. This follows the same pattern as commit ee76746387f6 ("netdevsim: prevent bad user input in nsim_dev_health_break_write()") Уязвимость функции memdup_user_nul() ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: intel_pstate: Fix object lifecycle issue in update_qos_request() The cpufreq_cpu_put() call in update_qos_request() takes place too early because the latter subsequently calls freq_qos_update_request() that indirectly accesses the policy object in question through the QoS request object passed to it. Fortunately, update_qos_request() is called under intel_pstate_driver_lock, so this issue does not matter for changing the intel_pstate operation mode, but it theoretically can cause a crash to occur on CPU device hot removal (which currently can only happen in virt, but it is formally supported nevertheless). Address this issue by modifying update_qos_request() to drop the reference to the policy later. Уязвимость функции update_qos_request() ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mc: Clear minor number before put device The device minor should not be cleared after the device is released. Уязвимость компонента media ядра операционной системы Linux связана c использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: avoid potential buffer over-read in parse_apply_sb_mount_options() Unlike other strings in the ext4 superblock, we rely on tune2fs to make sure s_mount_opts is NUL terminated. Harden parse_apply_sb_mount_options() by treating s_mount_opts as a potential __nonstring. Уязвимость функции parse_apply_sb_mount_options() ядра операционной системы Linux связана с ошибками при завершении строки или массива символом NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: reject negative file sizes in squashfs_read_inode() Syskaller reports a "WARNING in ovl_copy_up_file" in overlayfs. This warning is ultimately caused because the underlying Squashfs file system returns a file with a negative file size. This commit checks for a negative file size and returns EINVAL. [phillip@squashfs.org.uk: only need to check 64 bit quantity] Уязвимость функции squashfs_read_inode() файловой системы SquashFS ядра операционной системы Linux связана со сравнением числовых диапазонов без минимальной проверки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kernel/sys.c: fix the racy usage of task_lock(tsk->group_leader) in sys_prlimit64() paths The usage of task_lock(tsk->group_leader) in sys_prlimit64()->do_prlimit() path is very broken. sys_prlimit64() does get_task_struct(tsk) but this only protects task_struct itself. If tsk != current and tsk is not a leader, this process can exit/exec and task_lock(tsk->group_leader) may use the already freed task_struct. Another problem is that sys_prlimit64() can race with mt-exec which changes ->group_leader. In this case do_prlimit() may take the wrong lock, or (worse) ->group_leader may change between task_lock() and task_unlock(). Change sys_prlimit64() to take tasklist_lock when necessary. This is not nice, but I don't see a better fix for -stable. Уязвимость модуля kernel/sys.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipmi: Rework user message limit handling The limit on the number of user messages had a number of issues, improper counting in some cases and a use after free. Restructure how this is all done to handle more in the receive message allocation routine, so all refcouting and user message limit counts are done in that routine. It's a lot cleaner and safer. Уязвимость модуля drivers/char/ipmi/ipmi_msghandler.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: Fix MAC comparison to be constant-time To prevent timing attacks, MACs need to be compared in constant time. Use the appropriate helper function for this. Уязвимость модулей net/sctp/sm_make_chunk.c и net/sctp/sm_statefuns.c ядра операционной системы Linux связана с раскрытием информации из-за несоответствия во времени. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: avoid potential out-of-bounds in btrfs_encode_fh() The function btrfs_encode_fh() does not properly account for the three cases it handles. Before writing to the file handle (fh), the function only returns to the user BTRFS_FID_SIZE_NON_CONNECTABLE (5 dwords, 20 bytes) or BTRFS_FID_SIZE_CONNECTABLE (8 dwords, 32 bytes). However, when a parent exists and the root ID of the parent and the inode are different, the function writes BTRFS_FID_SIZE_CONNECTABLE_ROOT (10 dwords, 40 bytes). If *max_len is not large enough, this write goes out of bounds because BTRFS_FID_SIZE_CONNECTABLE_ROOT is greater than BTRFS_FID_SIZE_CONNECTABLE originally returned. This results in an 8-byte out-of-bounds write at fid->parent_root_objectid = parent_root_id. A previous attempt to fix this issue was made but was lost. https://lore.kernel.org/all/4CADAEEC020000780001B32C@vpn.id2.novell.com/ Although this issue does not seem to be easily triggerable, it is a potential memory corruption bug that should be fixed. This patch resolves the issue by ensuring the function returns the appropriate size for all three cases and validates that *max_len is large enough before writing any data. Уязвимость функции btrfs_encode_fh() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: v4l2-subdev: Fix alloc failure check in v4l2_subdev_call_state_try() v4l2_subdev_call_state_try() macro allocates a subdev state with __v4l2_subdev_state_alloc(), but does not check the returned value. If __v4l2_subdev_state_alloc fails, it returns an ERR_PTR, and that would cause v4l2_subdev_call_state_try() to crash. Add proper error handling to v4l2_subdev_call_state_try(). Уязвимость функции v4l2_subdev_call_state_try() модуля include/media/v4l2-subdev.h ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fuse: fix livelock in synchronous file put from fuseblk workers I observed a hang when running generic/323 against a fuseblk server. This test opens a file, initiates a lot of AIO writes to that file descriptor, and closes the file descriptor before the writes complete. Unsurprisingly, the AIO exerciser threads are mostly stuck waiting for responses from the fuseblk server: # cat /proc/372265/task/372313/stack [<0>] request_wait_answer+0x1fe/0x2a0 [fuse] [<0>] __fuse_simple_request+0xd3/0x2b0 [fuse] [<0>] fuse_do_getattr+0xfc/0x1f0 [fuse] [<0>] fuse_file_read_iter+0xbe/0x1c0 [fuse] [<0>] aio_read+0x130/0x1e0 [<0>] io_submit_one+0x542/0x860 [<0>] __x64_sys_io_submit+0x98/0x1a0 [<0>] do_syscall_64+0x37/0xf0 [<0>] entry_SYSCALL_64_after_hwframe+0x4b/0x53 But the /weird/ part is that the fuseblk server threads are waiting for responses from itself: # cat /proc/372210/task/372232/stack [<0>] request_wait_answer+0x1fe/0x2a0 [fuse] [<0>] __fuse_simple_request+0xd3/0x2b0 [fuse] [<0>] fuse_file_put+0x9a/0xd0 [fuse] [<0>] fuse_release+0x36/0x50 [fuse] [<0>] __fput+0xec/0x2b0 [<0>] task_work_run+0x55/0x90 [<0>] syscall_exit_to_user_mode+0xe9/0x100 [<0>] do_syscall_64+0x43/0xf0 [<0>] entry_SYSCALL_64_after_hwframe+0x4b/0x53 The fuseblk server is fuse2fs so there's nothing all that exciting in the server itself. So why is the fuse server calling fuse_file_put? The commit message for the fstest sheds some light on that: "By closing the file descriptor before calling io_destroy, you pretty much guarantee that the last put on the ioctx will be done in interrupt context (during I/O completion). Aha. AIO fgets a new struct file from the fd when it queues the ioctx. The completion of the FUSE_WRITE command from userspace causes the fuse server to call the AIO completion function. The completion puts the struct file, queuing a delayed fput to the fuse server task. When the fuse server task returns to userspace, it has to run the delayed fput, which in the case of a fuseblk server, it does synchronously. Sending the FUSE_RELEASE command sychronously from fuse server threads is a bad idea because a client program can initiate enough simultaneous AIOs such that all the fuse server threads end up in delayed_fput, and now there aren't any threads left to handle the queued fuse commands. Fix this by only using asynchronous fputs when closing files, and leave a comment explaining why. Уязвимость компонента fs/fuse ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: most: usb: Fix use-after-free in hdm_disconnect hdm_disconnect() calls most_deregister_interface(), which eventually unregisters the MOST interface device with device_unregister(iface->dev). If that drops the last reference, the device core may call release_mdev() immediately while hdm_disconnect() is still executing. The old code also freed several mdev-owned allocations in hdm_disconnect() and then performed additional put_device() calls. Depending on refcount order, this could lead to use-after-free or double-free when release_mdev() ran (or when unregister paths also performed puts). Fix by moving the frees of mdev-owned allocations into release_mdev(), so they happen exactly once when the device is truly released, and by dropping the extra put_device() calls in hdm_disconnect() that are redundant after device_unregister() and most_deregister_interface(). This addresses the KASAN slab-use-after-free reported by syzbot in hdm_disconnect(). See report and stack traces in the bug link below. Уязвимость функции hdm_disconnect() компонента drivers/most/most_usb.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: fix lock inversion in vsock_assign_transport() Syzbot reported a potential lock inversion deadlock between vsock_register_mutex and sk_lock-AF_VSOCK when vsock_linger() is called. The issue was introduced by commit 687aa0c5581b ("vsock: Fix transport_* TOCTOU") which added vsock_register_mutex locking in vsock_assign_transport() around the transport->release() call, that can call vsock_linger(). vsock_assign_transport() can be called with sk_lock held. vsock_linger() calls sk_wait_event() that temporarily releases and re-acquires sk_lock. During this window, if another thread hold vsock_register_mutex while trying to acquire sk_lock, a circular dependency is created. Fix this by releasing vsock_register_mutex before calling transport->release() and vsock_deassign_transport(). This is safe because we don't need to hold vsock_register_mutex while releasing the old transport, and we ensure the new transport won't disappear by obtaining a module reference first via try_module_get(). Уязвимость функции vsock_assign_transport() компонента net/vmw_vsock/af_vsock.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: clear extent cache after moving/defragmenting extents The extent map cache can become stale when extents are moved or defragmented, causing subsequent operations to see outdated extent flags. This triggers a BUG_ON in ocfs2_refcount_cal_cow_clusters(). The problem occurs when: 1. copy_file_range() creates a reflinked extent with OCFS2_EXT_REFCOUNTED 2. ioctl(FITRIM) triggers ocfs2_move_extents() 3. __ocfs2_move_extents_range() reads and caches the extent (flags=0x2) 4. ocfs2_move_extent()/ocfs2_defrag_extent() calls __ocfs2_move_extent() which clears OCFS2_EXT_REFCOUNTED flag on disk (flags=0x0) 5. The extent map cache is not invalidated after the move 6. Later write() operations read stale cached flags (0x2) but disk has updated flags (0x0), causing a mismatch 7. BUG_ON(!(rec->e_flags & OCFS2_EXT_REFCOUNTED)) triggers Fix by clearing the extent map cache after each extent move/defrag operation in __ocfs2_move_extents_range(). This ensures subsequent operations read fresh extent data from disk. Уязвимость компонента fs/ocfs2 ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: avoid NULL dereference when chunk data buffer is missing chunk->skb pointer is dereferenced in the if-block where it's supposed to be NULL only. chunk->skb can only be NULL if chunk->head_skb is not. Check for frag_list instead and do it just before replacing chunk->skb. We're sure that otherwise chunk->skb is non-NULL because of outer if() condition. Уязвимость компонента net/sctp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sctp в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sctp ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sctp /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfs: fix KMSAN uninit-value issue in hfs_find_set_zero_bits() The syzbot reported issue in hfs_find_set_zero_bits(): ===================================================== BUG: KMSAN: uninit-value in hfs_find_set_zero_bits+0x74d/0xb60 fs/hfs/bitmap.c:45 hfs_find_set_zero_bits+0x74d/0xb60 fs/hfs/bitmap.c:45 hfs_vbm_search_free+0x13c/0x5b0 fs/hfs/bitmap.c:151 hfs_extend_file+0x6a5/0x1b00 fs/hfs/extent.c:408 hfs_get_block+0x435/0x1150 fs/hfs/extent.c:353 __block_write_begin_int+0xa76/0x3030 fs/buffer.c:2151 block_write_begin fs/buffer.c:2262 [inline] cont_write_begin+0x10e1/0x1bc0 fs/buffer.c:2601 hfs_write_begin+0x85/0x130 fs/hfs/inode.c:52 cont_expand_zero fs/buffer.c:2528 [inline] cont_write_begin+0x35a/0x1bc0 fs/buffer.c:2591 hfs_write_begin+0x85/0x130 fs/hfs/inode.c:52 hfs_file_truncate+0x1d6/0xe60 fs/hfs/extent.c:494 hfs_inode_setattr+0x964/0xaa0 fs/hfs/inode.c:654 notify_change+0x1993/0x1aa0 fs/attr.c:552 do_truncate+0x28f/0x310 fs/open.c:68 do_ftruncate+0x698/0x730 fs/open.c:195 do_sys_ftruncate fs/open.c:210 [inline] __do_sys_ftruncate fs/open.c:215 [inline] __se_sys_ftruncate fs/open.c:213 [inline] __x64_sys_ftruncate+0x11b/0x250 fs/open.c:213 x64_sys_call+0xfe3/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:78 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4154 [inline] slab_alloc_node mm/slub.c:4197 [inline] __kmalloc_cache_noprof+0x7f7/0xed0 mm/slub.c:4354 kmalloc_noprof include/linux/slab.h:905 [inline] hfs_mdb_get+0x1cc8/0x2a90 fs/hfs/mdb.c:175 hfs_fill_super+0x3d0/0xb80 fs/hfs/super.c:337 get_tree_bdev_flags+0x6e3/0x920 fs/super.c:1681 get_tree_bdev+0x38/0x50 fs/super.c:1704 hfs_get_tree+0x35/0x40 fs/hfs/super.c:388 vfs_get_tree+0xb0/0x5c0 fs/super.c:1804 do_new_mount+0x738/0x1610 fs/namespace.c:3902 path_mount+0x6db/0x1e90 fs/namespace.c:4226 do_mount fs/namespace.c:4239 [inline] __do_sys_mount fs/namespace.c:4450 [inline] __se_sys_mount+0x6eb/0x7d0 fs/namespace.c:4427 __x64_sys_mount+0xe4/0x150 fs/namespace.c:4427 x64_sys_call+0xfa7/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:166 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 1 UID: 0 PID: 12609 Comm: syz.1.2692 Not tainted 6.16.0-syzkaller #0 PREEMPT(none) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 ===================================================== The HFS_SB(sb)->bitmap buffer is allocated in hfs_mdb_get(): HFS_SB(sb)->bitmap = kmalloc(8192, GFP_KERNEL); Finally, it can trigger the reported issue because kmalloc() doesn't clear the allocated memory. If allocated memory contains only zeros, then everything will work pretty fine. But if the allocated memory contains the "garbage", then it can affect the bitmap operations and it triggers the reported issue. This patch simply exchanges the kmalloc() on kzalloc() with the goal to guarantee the correctness of bitmap operations. Because, newly created allocation bitmap should have all available blocks free. Potentially, initialization bitmap's read operation could not fill the whole allocated memory and "garbage" in the not initialized memory will be the reason of volume coruptions and file system driver bugs. Уязвимость функции hfs_mdb_get() модуля fs/hfs/mdb.c файловой системы ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix KMSAN uninit-value issue in __hfsplus_ext_cache_extent() The syzbot reported issue in __hfsplus_ext_cache_extent(): [ 70.194323][ T9350] BUG: KMSAN: uninit-value in __hfsplus_ext_cache_extent+0x7d0/0x990 [ 70.195022][ T9350] __hfsplus_ext_cache_extent+0x7d0/0x990 [ 70.195530][ T9350] hfsplus_file_extend+0x74f/0x1cf0 [ 70.195998][ T9350] hfsplus_get_block+0xe16/0x17b0 [ 70.196458][ T9350] __block_write_begin_int+0x962/0x2ce0 [ 70.196959][ T9350] cont_write_begin+0x1000/0x1950 [ 70.197416][ T9350] hfsplus_write_begin+0x85/0x130 [ 70.197873][ T9350] generic_perform_write+0x3e8/0x1060 [ 70.198374][ T9350] __generic_file_write_iter+0x215/0x460 [ 70.198892][ T9350] generic_file_write_iter+0x109/0x5e0 [ 70.199393][ T9350] vfs_write+0xb0f/0x14e0 [ 70.199771][ T9350] ksys_write+0x23e/0x490 [ 70.200149][ T9350] __x64_sys_write+0x97/0xf0 [ 70.200570][ T9350] x64_sys_call+0x3015/0x3cf0 [ 70.201065][ T9350] do_syscall_64+0xd9/0x1d0 [ 70.201506][ T9350] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.202054][ T9350] [ 70.202279][ T9350] Uninit was created at: [ 70.202693][ T9350] __kmalloc_noprof+0x621/0xf80 [ 70.203149][ T9350] hfsplus_find_init+0x8d/0x1d0 [ 70.203602][ T9350] hfsplus_file_extend+0x6ca/0x1cf0 [ 70.204087][ T9350] hfsplus_get_block+0xe16/0x17b0 [ 70.204561][ T9350] __block_write_begin_int+0x962/0x2ce0 [ 70.205074][ T9350] cont_write_begin+0x1000/0x1950 [ 70.205547][ T9350] hfsplus_write_begin+0x85/0x130 [ 70.206017][ T9350] generic_perform_write+0x3e8/0x1060 [ 70.206519][ T9350] __generic_file_write_iter+0x215/0x460 [ 70.207042][ T9350] generic_file_write_iter+0x109/0x5e0 [ 70.207552][ T9350] vfs_write+0xb0f/0x14e0 [ 70.207961][ T9350] ksys_write+0x23e/0x490 [ 70.208375][ T9350] __x64_sys_write+0x97/0xf0 [ 70.208810][ T9350] x64_sys_call+0x3015/0x3cf0 [ 70.209255][ T9350] do_syscall_64+0xd9/0x1d0 [ 70.209680][ T9350] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.210230][ T9350] [ 70.210454][ T9350] CPU: 2 UID: 0 PID: 9350 Comm: repro Not tainted 6.12.0-rc5 #5 [ 70.211174][ T9350] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.212115][ T9350] ===================================================== [ 70.212734][ T9350] Disabling lock debugging due to kernel taint [ 70.213284][ T9350] Kernel panic - not syncing: kmsan.panic set ... [ 70.213858][ T9350] CPU: 2 UID: 0 PID: 9350 Comm: repro Tainted: G B 6.12.0-rc5 #5 [ 70.214679][ T9350] Tainted: [B]=BAD_PAGE [ 70.215057][ T9350] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.215999][ T9350] Call Trace: [ 70.216309][ T9350] <TASK> [ 70.216585][ T9350] dump_stack_lvl+0x1fd/0x2b0 [ 70.217025][ T9350] dump_stack+0x1e/0x30 [ 70.217421][ T9350] panic+0x502/0xca0 [ 70.217803][ T9350] ? kmsan_get_metadata+0x13e/0x1c0 [ 70.218294][ Message fromT sy9350] kmsan_report+0x296/slogd@syzkaller 0x2aat Aug 18 22:11:058 ... kernel :[ 70.213284][ T9350] Kernel panic - not syncing: kmsan.panic [ 70.220179][ T9350] ? kmsan_get_metadata+0x13e/0x1c0 set ... [ 70.221254][ T9350] ? __msan_warning+0x96/0x120 [ 70.222066][ T9350] ? __hfsplus_ext_cache_extent+0x7d0/0x990 [ 70.223023][ T9350] ? hfsplus_file_extend+0x74f/0x1cf0 [ 70.224120][ T9350] ? hfsplus_get_block+0xe16/0x17b0 [ 70.224946][ T9350] ? __block_write_begin_int+0x962/0x2ce0 [ 70.225756][ T9350] ? cont_write_begin+0x1000/0x1950 [ 70.226337][ T9350] ? hfsplus_write_begin+0x85/0x130 [ 70.226852][ T9350] ? generic_perform_write+0x3e8/0x1060 [ 70.227405][ T9350] ? __generic_file_write_iter+0x215/0x460 [ 70.227979][ T9350] ? generic_file_write_iter+0x109/0x5e0 [ 70.228540][ T9350] ? vfs_write+0xb0f/0x14e0 [ 70.228997][ T9350] ? ksys_write+0x23e/0x490 ---truncated--- Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля hfsplus.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль hfsplus в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep hfsplus ``` или ``` kmod list | grep hfsplus ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod hfsplus ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install hfsplus /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arch_topology: Fix incorrect error check in topology_parse_cpu_capacity() Fix incorrect use of PTR_ERR_OR_ZERO() in topology_parse_cpu_capacity() which causes the code to proceed with NULL clock pointers. The current logic uses !PTR_ERR_OR_ZERO(cpu_clk) which evaluates to true for both valid pointers and NULL, leading to potential NULL pointer dereference in clk_get_rate(). Per include/linux/err.h documentation, PTR_ERR_OR_ZERO(ptr) returns: "The error code within @ptr if it is an error pointer; 0 otherwise." This means PTR_ERR_OR_ZERO() returns 0 for both valid pointers AND NULL pointers. Therefore !PTR_ERR_OR_ZERO(cpu_clk) evaluates to true (proceed) when cpu_clk is either valid or NULL, causing clk_get_rate(NULL) to be called when of_clk_get() returns NULL. Replace with !IS_ERR_OR_NULL(cpu_clk) which only proceeds for valid pointers, preventing potential NULL pointer dereference in clk_get_rate(). Уязвимость функции topology_parse_cpu_capacity() компонента drivers/base/arch_topology.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfs: validate record offset in hfsplus_bmap_alloc hfsplus_bmap_alloc can trigger a crash if a record offset or length is larger than node_size [ 15.264282] BUG: KASAN: slab-out-of-bounds in hfsplus_bmap_alloc+0x887/0x8b0 [ 15.265192] Read of size 8 at addr ffff8881085ca188 by task test/183 [ 15.265949] [ 15.266163] CPU: 0 UID: 0 PID: 183 Comm: test Not tainted 6.17.0-rc2-gc17b750b3ad9 #14 PREEMPT(voluntary) [ 15.266165] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 15.266167] Call Trace: [ 15.266168] <TASK> [ 15.266169] dump_stack_lvl+0x53/0x70 [ 15.266173] print_report+0xd0/0x660 [ 15.266181] kasan_report+0xce/0x100 [ 15.266185] hfsplus_bmap_alloc+0x887/0x8b0 [ 15.266208] hfs_btree_inc_height.isra.0+0xd5/0x7c0 [ 15.266217] hfsplus_brec_insert+0x870/0xb00 [ 15.266222] __hfsplus_ext_write_extent+0x428/0x570 [ 15.266225] __hfsplus_ext_cache_extent+0x5e/0x910 [ 15.266227] hfsplus_ext_read_extent+0x1b2/0x200 [ 15.266233] hfsplus_file_extend+0x5a7/0x1000 [ 15.266237] hfsplus_get_block+0x12b/0x8c0 [ 15.266238] __block_write_begin_int+0x36b/0x12c0 [ 15.266251] block_write_begin+0x77/0x110 [ 15.266252] cont_write_begin+0x428/0x720 [ 15.266259] hfsplus_write_begin+0x51/0x100 [ 15.266262] cont_write_begin+0x272/0x720 [ 15.266270] hfsplus_write_begin+0x51/0x100 [ 15.266274] generic_perform_write+0x321/0x750 [ 15.266285] generic_file_write_iter+0xc3/0x310 [ 15.266289] __kernel_write_iter+0x2fd/0x800 [ 15.266296] dump_user_range+0x2ea/0x910 [ 15.266301] elf_core_dump+0x2a94/0x2ed0 [ 15.266320] vfs_coredump+0x1d85/0x45e0 [ 15.266349] get_signal+0x12e3/0x1990 [ 15.266357] arch_do_signal_or_restart+0x89/0x580 [ 15.266362] irqentry_exit_to_user_mode+0xab/0x110 [ 15.266364] asm_exc_page_fault+0x26/0x30 [ 15.266366] RIP: 0033:0x41bd35 [ 15.266367] Code: bc d1 f3 0f 7f 27 f3 0f 7f 6f 10 f3 0f 7f 77 20 f3 0f 7f 7f 30 49 83 c0 0f 49 29 d0 48 8d 7c 17 31 e9 9f 0b 00 00 66 0f ef c0 <f3> 0f 6f 0e f3 0f 6f 56 10 66 0f 74 c1 66 0f d7 d0 49 83 f8f [ 15.266369] RSP: 002b:00007ffc9e62d078 EFLAGS: 00010283 [ 15.266371] RAX: 00007ffc9e62d100 RBX: 0000000000000000 RCX: 0000000000000000 [ 15.266372] RDX: 00000000000000e0 RSI: 0000000000000000 RDI: 00007ffc9e62d100 [ 15.266373] RBP: 0000400000000040 R08: 00000000000000e0 R09: 0000000000000000 [ 15.266374] R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 [ 15.266375] R13: 0000000000000000 R14: 0000000000000000 R15: 0000400000000000 [ 15.266376] </TASK> When calling hfsplus_bmap_alloc to allocate a free node, this function first retrieves the bitmap from header node and map node using node->page together with the offset and length from hfs_brec_lenoff ``` len = hfs_brec_lenoff(node, 2, &off16); off = off16; off += node->page_offset; pagep = node->page + (off >> PAGE_SHIFT); data = kmap_local_page(*pagep); ``` However, if the retrieved offset or length is invalid(i.e. exceeds node_size), the code may end up accessing pages outside the allocated range for this node. This patch adds proper validation of both offset and length before use, preventing out-of-bounds page access. Move is_bnode_offset_valid and check_and_correct_requested_length to hfsplus_fs.h, as they may be required by other functions. Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix KMSAN uninit-value issue in hfsplus_delete_cat() The syzbot reported issue in hfsplus_delete_cat(): [ 70.682285][ T9333] ===================================================== [ 70.682943][ T9333] BUG: KMSAN: uninit-value in hfsplus_subfolders_dec+0x1d7/0x220 [ 70.683640][ T9333] hfsplus_subfolders_dec+0x1d7/0x220 [ 70.684141][ T9333] hfsplus_delete_cat+0x105d/0x12b0 [ 70.684621][ T9333] hfsplus_rmdir+0x13d/0x310 [ 70.685048][ T9333] vfs_rmdir+0x5ba/0x810 [ 70.685447][ T9333] do_rmdir+0x964/0xea0 [ 70.685833][ T9333] __x64_sys_rmdir+0x71/0xb0 [ 70.686260][ T9333] x64_sys_call+0xcd8/0x3cf0 [ 70.686695][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.687119][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.687646][ T9333] [ 70.687856][ T9333] Uninit was stored to memory at: [ 70.688311][ T9333] hfsplus_subfolders_inc+0x1c2/0x1d0 [ 70.688779][ T9333] hfsplus_create_cat+0x148e/0x1800 [ 70.689231][ T9333] hfsplus_mknod+0x27f/0x600 [ 70.689730][ T9333] hfsplus_mkdir+0x5a/0x70 [ 70.690146][ T9333] vfs_mkdir+0x483/0x7a0 [ 70.690545][ T9333] do_mkdirat+0x3f2/0xd30 [ 70.690944][ T9333] __x64_sys_mkdir+0x9a/0xf0 [ 70.691380][ T9333] x64_sys_call+0x2f89/0x3cf0 [ 70.691816][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.692229][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.692773][ T9333] [ 70.692990][ T9333] Uninit was stored to memory at: [ 70.693469][ T9333] hfsplus_subfolders_inc+0x1c2/0x1d0 [ 70.693960][ T9333] hfsplus_create_cat+0x148e/0x1800 [ 70.694438][ T9333] hfsplus_fill_super+0x21c1/0x2700 [ 70.694911][ T9333] mount_bdev+0x37b/0x530 [ 70.695320][ T9333] hfsplus_mount+0x4d/0x60 [ 70.695729][ T9333] legacy_get_tree+0x113/0x2c0 [ 70.696167][ T9333] vfs_get_tree+0xb3/0x5c0 [ 70.696588][ T9333] do_new_mount+0x73e/0x1630 [ 70.697013][ T9333] path_mount+0x6e3/0x1eb0 [ 70.697425][ T9333] __se_sys_mount+0x733/0x830 [ 70.697857][ T9333] __x64_sys_mount+0xe4/0x150 [ 70.698269][ T9333] x64_sys_call+0x2691/0x3cf0 [ 70.698704][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.699117][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.699730][ T9333] [ 70.699946][ T9333] Uninit was created at: [ 70.700378][ T9333] __alloc_pages_noprof+0x714/0xe60 [ 70.700843][ T9333] alloc_pages_mpol_noprof+0x2a2/0x9b0 [ 70.701331][ T9333] alloc_pages_noprof+0xf8/0x1f0 [ 70.701774][ T9333] allocate_slab+0x30e/0x1390 [ 70.702194][ T9333] ___slab_alloc+0x1049/0x33a0 [ 70.702635][ T9333] kmem_cache_alloc_lru_noprof+0x5ce/0xb20 [ 70.703153][ T9333] hfsplus_alloc_inode+0x5a/0xd0 [ 70.703598][ T9333] alloc_inode+0x82/0x490 [ 70.703984][ T9333] iget_locked+0x22e/0x1320 [ 70.704428][ T9333] hfsplus_iget+0x5c/0xba0 [ 70.704827][ T9333] hfsplus_btree_open+0x135/0x1dd0 [ 70.705291][ T9333] hfsplus_fill_super+0x1132/0x2700 [ 70.705776][ T9333] mount_bdev+0x37b/0x530 [ 70.706171][ T9333] hfsplus_mount+0x4d/0x60 [ 70.706579][ T9333] legacy_get_tree+0x113/0x2c0 [ 70.707019][ T9333] vfs_get_tree+0xb3/0x5c0 [ 70.707444][ T9333] do_new_mount+0x73e/0x1630 [ 70.707865][ T9333] path_mount+0x6e3/0x1eb0 [ 70.708270][ T9333] __se_sys_mount+0x733/0x830 [ 70.708711][ T9333] __x64_sys_mount+0xe4/0x150 [ 70.709158][ T9333] x64_sys_call+0x2691/0x3cf0 [ 70.709630][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.710053][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.710611][ T9333] [ 70.710842][ T9333] CPU: 3 UID: 0 PID: 9333 Comm: repro Not tainted 6.12.0-rc6-dirty #17 [ 70.711568][ T9333] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.712490][ T9333] ===================================================== [ 70.713085][ T9333] Disabling lock debugging due to kernel taint [ 70.713618][ T9333] Kernel panic - not syncing: kmsan.panic set ... [ 70.714159][ T9333] ---truncated--- Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 bind9 Under certain circumstances, BIND is too lenient when accepting records from answers, allowing an attacker to inject forged data into the cache. This issue affects BIND 9 versions 9.11.0 through 9.16.50, 9.18.0 through 9.18.39, 9.20.0 through 9.20.13, 9.21.0 through 9.21.12, 9.11.3-S1 through 9.16.50-S1, 9.18.11-S1 through 9.18.39-S1, and 9.20.9-S1 through 9.20.13-S1. Уязвимость DNS-сервера BIND связана с загрузкой внешних ненадёжных данных вместе с надёжными данными. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, перенаправить трафик на вредоносный сайт [NistCWE(cwe='CWE-349')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить следующие требования: - Настроить списки контроля доступа (ACL) в named.conf, разрешив рекурсивные и обычные запросы исключительно для IP-адресов доверенных внутренних сетей организации. - Настроить принудительное использование доверенных вышестоящих серверов (forwarders) в режиме forward only. Ваш BIND будет направлять все запросы только на заранее заданные, проверенные IP-адреса. - Установить низкое значение времени жизни записей в кэше с помощью параметра max-cache-ttl. - Включить обязательную проверку DNSSEC (dnssec-validation auto). Она обеспечивает криптографическую проверку целостности и подлинности ответов для всех доменов, поддерживающих эту технологию. Astra Linux 3.8 bind9 In specific circumstances, due to a weakness in the Pseudo Random Number Generator (PRNG) that is used, it is possible for an attacker to predict the source port and query ID that BIND will use. This issue affects BIND 9 versions 9.16.0 through 9.16.50, 9.18.0 through 9.18.39, 9.20.0 through 9.20.13, 9.21.0 through 9.21.12, 9.16.8-S1 through 9.16.50-S1, 9.18.11-S1 through 9.18.39-S1, and 9.20.9-S1 through 9.20.13-S1. Уязвимость сервера DNS BIND связана с прогнозируемостью в результате наблюдения состояния. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-341')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 zabbix A regular Zabbix user with no permission to the Monitoring -> Problems view is still able to call the problem.view.refresh action and therefore still retrieve a list of active problems. Уязвимость универсальной системы мониторинга Zabbix связана с ошибками авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 zabbix An authenticated Zabbix user (including Guest) is able to cause disproportionate CPU load on the webserver by sending specially crafted parameters to /imgstore.php, leading to potential denial of service. Уязвимость компонента imgstore.php системы мониторинга Zabbix связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 3.8 openjpeg2 openjpeg v 2.5.0 was discovered to contain a NULL pointer dereference via the component /openjp2/dwt.c. Уязвимость компонента dwt.c библиотеки для кодирования и декодирования изображений OpenJPEG связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 3.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. Versions 1.0.0-rc3 through 1.2.7, 1.3.0-rc.1 through 1.3.2, and 1.4.0-rc.1 through 1.4.0-rc.2, due to insufficient checks when bind-mounting `/dev/pts/$n` to `/dev/console` inside the container, an attacker can trick runc into bind-mounting paths which would normally be made read-only or be masked onto a path that the attacker can write to. This attack is very similar in concept and application to CVE-2025-31133, except that it attacks a similar vulnerability in a different target (namely, the bind-mount of `/dev/pts/$n` to `/dev/console` as configured for all containers that allocate a console). This happens after `pivot_root(2)`, so this cannot be used to write to host files directly -- however, as with CVE-2025-31133, this can load to denial of service of the host or a container breakout by providing the attacker with a writable copy of `/proc/sysrq-trigger` or `/proc/sys/kernel/core_pattern` (respectively). This issue is fixed in versions 1.2.8, 1.3.3 and 1.4.0-rc.3. Уязвимость инструмента для запуска изолированных контейнеров runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо использовать Docker для работы в непривилегированном (rootless) режиме Astra Linux 3.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. In versions 1.2.7, 1.3.2 and 1.4.0-rc.2, an attacker can trick runc into misdirecting writes to /proc to other procfs files through the use of a racing container with shared mounts (we have also verified this attack is possible to exploit using a standard Dockerfile with docker buildx build as that also permits triggering parallel execution of containers with custom shared mounts configured). This redirect could be through symbolic links in a tmpfs or theoretically other methods such as regular bind-mounts. While similar, the mitigation applied for the related CVE, CVE-2019-19921, was fairly limited and effectively only caused runc to verify that when LSM labels are written they are actually procfs files. This issue is fixed in versions 1.2.8, 1.3.3, and 1.4.0-rc.3. Уязвимость инструмента для запуска изолированных контейнеров runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо использовать Docker для работы в непривилегированном (rootless) режиме Astra Linux 3.8 qtbase-opensource-src An issue was found in the private API function qDecodeDataUrl() in QtCore, which is used in QTextDocument and QNetworkReply, and, potentially, in user code. If the function was called with malformed data, for example, an URL that contained a "charset" parameter that lacked a value (such as "data:charset,"), and Qt was built with assertions enabled, then it would hit an assertion, resulting in a denial of service (abort). This impacts Qt up to 5.15.18, 6.0.0->6.5.8, 6.6.0->6.8.3 and 6.9.0. This has been fixed in 5.15.19, 6.5.9, 6.8.4 and 6.9.1. Уязвимость функции qDecodeDataUrl() модуля QtCore кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с недостаточной проверкой входных данных при обработке параметра charset. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None None qtbase-opensource-src: - Запускайте приложения, использующие qtbase-opensource-src, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте строгую проверку и валидацию всех данных, передаваемых в приложения на Qt, чтобы избежать угроз, связанных с неподтверждёнными или вредоносными данными. - Отказаться от использования ПО qtbase-opensource-src в пользу ПО gtk+3.0 Astra Linux 3.8 apache2 An integer overflow in the case of failed ACME certificate renewal leads, after a number of failures (~30 days in default configurations), to the backoff timer becoming 0. Attempts to renew the certificate then are repeated without delays until it succeeds. This issue affects Apache HTTP Server: from 2.4.30 before 2.4.66. Users are recommended to upgrade to version 2.4.66, which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 python-h2 h2 is a pure-Python implementation of a HTTP/2 protocol stack. Prior to version 4.3.0, an HTTP/2 request splitting vulnerability allows attackers to perform request smuggling attacks by injecting CRLF characters into headers. This occurs when servers downgrade HTTP/2 requests to HTTP/1.1 without properly validating header names/values, enabling attackers to manipulate request boundaries and bypass security controls. This issue has been patched in version 4.3.0. Уязвимость стека протокола http/2 Python-h2 связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-93')] None None Astra Linux 3.8 apache2 Apache HTTP Server 2.4.65 and earlier with Server Side Includes (SSI) enabled and mod_cgid (but not mod_cgi) passes the shell-escaped query string to #exec cmd="..." directives. This issue affects Apache HTTP Server before 2.4.66. Users are recommended to upgrade to version 2.4.66, which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с раскрытием информации при передаче данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-201')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L', score=8.3) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to version 2.4.15, a client that connects to cupsd but sends slow messages, e.g. only one byte per second, delays cupsd as a whole, such that it becomes unusable by other clients. This issue has been patched in version 2.4.15. Уязвимость сервера печати CUPS связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.1) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 ghostscript Artifex Ghostscript through 10.05.1 has a stack-based buffer overflow in pdf_write_cmap in devices/vector/gdevpdtw.c. Уязвимость функции pdf_write_cmap набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ghostscript Artifex Ghostscript through 10.05.1 has a stack-based buffer overflow in pdfmark_coerce_dest in devices/vector/gdevpdfm.c via a large size value. Уязвимость функции pdfmark_coerce_dest набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. Prior to version 2.2.18, Rack::QueryParser enforces its params_limit only for parameters separated by &, while still splitting on both & and ;. As a result, attackers could use ; separators to bypass the parameter count limit and submit more parameters than intended. Applications or middleware that directly invoke Rack::QueryParser with its default configuration (no explicit delimiter) could be exposed to increased CPU and memory consumption. This can be abused as a limited denial-of-service vector. This issue has been patched in version 2.2.18. Уязвимость функции QueryParser() интерфейса модуля Rack интерпретатора языка программирования Ruby связана с исчерпанием ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Применяйте ограничения на длину строки запроса и размер запроса на уровне веб-сервера или прокси Настройте QueryParser с явным разделителем (например, &), чтобы избежать несоответствия Astra Linux 3.8 libarchive An issue was discovered in libarchive bsdtar before version 3.8.1 in function apply_substitution in file tar/subst.c when processing crafted -s substitution rules. This can cause unbounded memory allocation and lead to denial of service (Out-of-Memory crash). Уязвимость функции apply_substitution() компонента tar/subst.c библиотеки архивирования Libarchive связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, `Rack::Multipart::Parser` buffers the entire multipart preamble (bytes before the first boundary) in memory without any size limit. A client can send a large preamble followed by a valid boundary, causing significant memory use and potential process termination due to out-of-memory (OOM) conditions. Remote attackers can trigger large transient memory spikes by including a long preamble in multipart/form-data requests. The impact scales with allowed request sizes and concurrency, potentially causing worker crashes or severe slowdown due to garbage collection. Versions 2.2.19, 3.1.17, and 3.2.2 enforce a preamble size limit (e.g., 16 KiB) or discard preamble data entirely. Workarounds include limiting total request body size at the proxy or web server level and monitoring memory and set per-process limits to prevent OOM conditions. Уязвимость компонента Rack::Multipart::Parser модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничьте общий размер тела запроса на уровне прокси-сервера или веб-сервера. - Отслеживайте использование памяти и установите лимиты на процесс, чтобы предотвратить исчерпание памяти Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, ``Rack::Multipart::Parser` stores non-file form fields (parts without a `filename`) entirely in memory as Ruby `String` objects. A single large text field in a multipart/form-data request (hundreds of megabytes or more) can consume equivalent process memory, potentially leading to out-of-memory (OOM) conditions and denial of service (DoS). Attackers can send large non-file fields to trigger excessive memory usage. Impact scales with request size and concurrency, potentially leading to worker crashes or severe garbage-collection overhead. All Rack applications processing multipart form submissions are affected. Versions 2.2.19, 3.1.17, and 3.2.2 enforce a reasonable size cap for non-file fields (e.g., 2 MiB). Workarounds include restricting maximum request body size at the web-server or proxy layer (e.g., Nginx `client_max_body_size`) and validating and rejecting unusually large form fields at the application level. Уязвимость класса Rack::Multipart::Parser модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничьте максимальный размер тела запроса на уровне веб-сервера или прокси (например, директива Nginx client_max_body_size). - Проверяйте и отклоняйте необычно большие поля формы на уровне приложения. Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, `Rack::Multipart::Parser` can accumulate unbounded data when a multipart part’s header block never terminates with the required blank line (`CRLFCRLF`). The parser keeps appending incoming bytes to memory without a size cap, allowing a remote attacker to exhaust memory and cause a denial of service (DoS). Attackers can send incomplete multipart headers to trigger high memory use, leading to process termination (OOM) or severe slowdown. The effect scales with request size limits and concurrency. All applications handling multipart uploads may be affected. Versions 2.2.19, 3.1.17, and 3.2.2 cap per-part header size (e.g., 64 KiB). As a workaround, restrict maximum request sizes at the proxy or web server layer (e.g., Nginx `client_max_body_size`). Уязвимость класса Rack::Multipart::Parser модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничивайте максимальный размер запросов на уровне прокси или веб-сервера (например, с помощью директивы Nginx client_max_body_size). Astra Linux 3.8 python-ldap python-ldap is a lightweight directory access protocol (LDAP) client API for Python. In versions prior to 3.4.5, the sanitization method `ldap.filter.escape_filter_chars` can be tricked to skip escaping of special characters when a crafted `list` or `dict` is supplied as the `assertion_value` parameter, and the non-default `escape_mode=1` is configured. The method `ldap.filter.escape_filter_chars` supports 3 different escaping modes. `escape_mode=0` (default) and `escape_mode=2` happen to raise exceptions when a `list` or `dict` object is supplied as the `assertion_value` parameter. However, `escape_mode=1` computes without performing adequate logic to ensure a fully escaped return value. If an application relies on the vulnerable method in the `python-ldap` library to escape untrusted user input, an attacker might be able to abuse the vulnerability to launch ldap injection attacks which could potentially disclose or manipulate ldap data meant to be inaccessible to them. Version 3.4.5 fixes the issue by adding a type check at the start of the `ldap.filter.escape_filter_chars` method to raise an exception when the supplied `assertion_value` parameter is not of type `str`. Уязвимость компонента filter.py модуля Python для работы с LDAP-каталогами Python-LDAP связана с некорректной обработкой специальных элементов управления. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-75')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) - При использовании модуля pythol-ldap реализовать строгую проверку типа данных перед вызовом ldap.filter.escape_filter_chars - При использовании модуля pythol-ldap не использовать escape_mode=1 при вызове ldap.filter.escape_filter_chars Astra Linux 3.8 python-ldap python-ldap is a lightweight directory access protocol (LDAP) client API for Python. In versions prior to 3.4.5, ldap.dn.escape_dn_chars() escapes \x00 incorrectly by emitting a backslash followed by a literal NUL byte instead of the RFC-4514 hex form \00. Any application that uses this helper to construct DNs from untrusted input can be made to consistently fail before a request is sent to the LDAP server (e.g., AD), resulting in a client-side denial of service. Version 3.4.5 contains a patch for the issue. Уязвимость компонента dn.py модуля Python для работы с LDAP-каталогами Python-LDAP связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - При использовании модуля python-ldap реализовать предварительную замену \x00 на корректное RFC-4514 представление \00 перед вызовом ldap.dn.escape_dn_chars() - При использовании модуля python-ldap запретить передачу значений с \x00 - При использовании модуля python-ldap внедрить валидацию входных данных на наличие \x00 Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to version 2.4.15, a user in the lpadmin group can use the cups web ui to change the config and insert a malicious line. Then the cupsd process which runs as root will parse the new config and cause an out-of-bound write. This issue has been patched in version 2.4.15. Уязвимость сервера печати CUPS связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.0) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. Prior to versions 2.2.20, 3.1.18, and 3.2.3, `Rack::Request#POST` reads the entire request body into memory for `Content-Type: application/x-www-form-urlencoded`, calling `rack.input.read(nil)` without enforcing a length or cap. Large request bodies can therefore be buffered completely into process memory before parsing, leading to denial of service (DoS) through memory exhaustion. Users should upgrade to Rack version 2.2.20, 3.1.18, or 3.2.3, anu of which enforces form parameter limits using `query_parser.bytesize_limit`, preventing unbounded reads of `application/x-www-form-urlencoded` bodies. Additionally, enforce strict maximum body size at the proxy or web server layer (e.g., Nginx `client_max_body_size`, Apache `LimitRequestBody`). Уязвимость класса Rack::Request#POST модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Установите строгое ограничение на максимальный размер тела запроса на уровне прокси-сервера или веб-сервера (например, client_max_body_size в Nginx или LimitRequestBody в Apache) Astra Linux 3.8 ruby-sinatra Sinatra is a domain-specific language for creating web applications in Ruby. In versions prior to 4.2.0, there is a denial of service vulnerability in the `If-Match` and `If-None-Match` header parsing component of Sinatra, if the `etag` method is used when constructing the response. Carefully crafted input can cause `If-Match` and `If-None-Match` header parsing in Sinatra to take an unexpected amount of time, possibly resulting in a denial of service attack vector. This header is typically involved in generating the `ETag` header value. Any applications that use the `etag` method when generating a response are impacted. Version 4.2.0 fixes the issue. Уязвимость парсера фреймворка разработки веб-приложений на Ruby Sinatra связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 3.8 gdk-pixbuf A flaw was found in the GIF parser of GdkPixbuf’s LZW decoder. When an invalid symbol is encountered during decompression, the decoder sets the reported output size to the full buffer length rather than the actual number of written bytes. This logic error results in uninitialized sections of the buffer being included in the output, potentially leaking arbitrary memory contents in the processed image. Уязвимость декодера LZW библиотеки загрузки изображений GdkPixbufс связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.3) gdk-pixbuf: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с изображениями, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать приложения, использующие gdk-pixbuf, на низком уровне целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить права редактирования конфигурационных файлов gdk-pixbuf исключительно группе root. - Выполнять регламентный контроль целостности критических компонентов gdk-pixbuf в рамках замкнутой программной среды. Astra Linux 3.8 xorg-server A flaw was found in the X.Org X server and Xwayland when processing X11 Present extension notifications. Improper error handling during notification creation can leave dangling pointers that lead to a use-after-free condition. This can cause memory corruption or a crash, potentially allowing an attacker to execute arbitrary code or cause a denial of service. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was discovered in the X.Org X server’s X Keyboard (Xkb) extension when handling client resource cleanup. The software frees certain data structures without properly detaching related resources, leading to a use-after-free condition. This can cause memory corruption or a crash when affected clients disconnect. Уязвимость функции XkbRemoveResourceClient реализации сервера X Window System X.Org Server, реализации протокола Wayland для X.Org XWayland связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was identified in the X.Org X server’s X Keyboard (Xkb) extension where improper bounds checking in the XkbSetCompatMap() function can cause an unsigned short overflow. If an attacker sends specially crafted input data, the value calculation may overflow, leading to memory corruption or a crash. Уязвимость функции XkbSetCompatMap реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 strongswan In the eap-mschapv2 plugin (client-side) in strongSwan before 6.0.3, a malicious EAP-MSCHAPv2 server can send a crafted message of size 6 through 8, and cause an integer underflow that potentially results in a heap-based buffer overflow. Уязвимость плагина EAP-MSCHAPv2 VPN-клиента StrongSwan связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) - Не использовать аутентификацию EAP - Использовать аутентификацию EAP с настроенным нетуннелируемым методом EAP (например, auth = eap-tls или auth = eap-md5) - Отключить плагин eap-mschapv2 - Скомпилировать плагин с оптимизацией и параметром -D_FORTIFY_SOURCE=3 Astra Linux 3.8 containerd-app containerd is an open-source container runtime. Versions 1.7.28 and below, 2.0.0-beta.0 through 2.0.6, 2.1.0-beta.0 through 2.1.4, and 2.2.0-beta.0 through 2.2.0-rc.1 contain a bug in the CRI Attach implementation where a user can exhaust memory on the host due to goroutine leaks. This issue is fixed in versions 1.7.29, 2.0.7, 2.1.5 and 2.2.0. To workaround this vulnerability, users can set up an admission controller to control accesses to pods/attach resources. Уязвимость среды выполнения контейнеров containerd связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) - Обеспечить возможность импорта образов контейнеров только доверенным пользователям ОС - Не запускать контейнеры с правами root - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 3.8 ruby-webrick Ruby WEBrick read_header HTTP Request Smuggling Vulnerability. This vulnerability allows remote attackers to smuggle arbitrary HTTP requests on affected installations of Ruby WEBrick. This issue is exploitable when the product is deployed behind an HTTP proxy that fulfills specific conditions. The specific flaw exists within the read_headers method. The issue results from the inconsistent parsing of terminators of HTTP headers. An attacker can leverage this vulnerability to smuggle arbitrary HTTP requests. Was ZDI-CAN-21876. Уязвимость набора инструментов HTTP-сервера WEBrick связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:N', score=6.5) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to version 1.6.51, a heap buffer over-read vulnerability exists in libpng's png_do_quantize function when processing PNG files with malformed palette indices. The vulnerability occurs when palette_lookup array bounds are not validated against externally-supplied image data, allowing an attacker to craft a PNG file with out-of-range palette indices that trigger out-of-bounds memory access. This issue has been patched in version 1.6.51. Уязвимость функции png_do_quantize() компонента pngrtran.c библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From version 1.6.0 to before 1.6.51, a heap buffer over-read vulnerability exists in libpng's png_write_image_8bit function when processing 8-bit images through the simplified write API with convert_to_8bit enabled. The vulnerability affects 8-bit grayscale+alpha, RGB/RGBA, and images with incomplete row data. A conditional guard incorrectly allows 8-bit input to enter code expecting 16-bit input, causing reads up to 2 bytes beyond allocated buffer boundaries. This issue has been patched in version 1.6.51. Уязвимость библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From version 1.6.0 to before 1.6.51, an out-of-bounds read vulnerability exists in png_image_read_composite when processing palette images with PNG_FLAG_OPTIMIZE_ALPHA enabled. The palette compositing code in png_init_read_transformations incorrectly applies background compositing during premultiplication, violating the invariant component ≤ alpha × 257 required by the simplified PNG API. This issue has been patched in version 1.6.51. Уязвимость библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=7.1) Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From version 1.6.0 to before 1.6.51, there is a heap buffer overflow vulnerability in the libpng simplified API function png_image_finish_read when processing 16-bit interlaced PNGs with 8-bit output format. Attacker-crafted interlaced PNG files cause heap writes beyond allocated buffer bounds. This issue has been patched in version 1.6.51. Уязвимость функции png_image_finish_read() библиотеки для работы с растровой графикой в формате PNG libpng связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем загрузки специально сформированного PNG-файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=7.1) Astra Linux 3.8 apache2 Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache HTTP Server through environment variables set via the Apache configuration unexpectedly superseding variables calculated by the server for CGI programs. This issue affects Apache HTTP Server from 2.4.0 through 2.4.65. Users are recommended to upgrade to version 2.4.66 which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с неправильной нейтрализацией последовательности управляющих и мета символов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-150')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 openssl Issue summary: A TLS 1.3 connection using certificate compression can be forced to allocate a large buffer before decompression without checking against the configured certificate size limit. Impact summary: An attacker can cause per-connection memory allocations of up to approximately 22 MiB and extra CPU work, potentially leading to service degradation or resource exhaustion (Denial of Service). In affected configurations, the peer-supplied uncompressed certificate length from a CompressedCertificate message is used to grow a heap buffer prior to decompression. This length is not bounded by the max_cert_list setting, which otherwise constrains certificate message sizes. An attacker can exploit this to cause large per-connection allocations followed by handshake failure. No memory corruption or information disclosure occurs. This issue only affects builds where TLS 1.3 certificate compression is compiled in (i.e., not OPENSSL_NO_COMP_ALG) and at least one compression algorithm (brotli, zlib, or zstd) is available, and where the compression extension is negotiated. Both clients receiving a server CompressedCertificate and servers in mutual TLS scenarios receiving a client CompressedCertificate are affected. Servers that do not request client certificates are not vulnerable to client-initiated attacks. Users can mitigate this issue by setting SSL_OP_NO_RX_CERTIFICATE_COMPRESSION to disable receiving compressed certificates. The FIPS modules in 3.6, 3.5, 3.4 and 3.3 are not affected by this issue, as the TLS implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4 and 3.3 are vulnerable to this issue. OpenSSL 3.0, 1.1.1 and 1.0.2 are not affected by this issue. Уязвимость параметра max_cert_list сжатия сертификатов в TLS 1.3 библиотеки OpenSSL связана с неконтролируемым распределением памяти. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-789')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 apache2 mod_userdir+suexec bypass via AllowOverride FileInfo vulnerability in Apache HTTP Server. Users with access to use the RequestHeader directive in htaccess can cause some CGI scripts to run under an unexpected userid. This issue affects Apache HTTP Server: from 2.4.7 through 2.4.65. Users are recommended to upgrade to version 2.4.66, which fixes the issue. Уязвимость модуля mod_userdir веб-сервера Apache HTTP Server связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L', score=5.4) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to 1.6.52, an out-of-bounds read vulnerability in libpng's simplified API allows reading up to 1012 bytes beyond the png_sRGB_base[512] array when processing valid palette PNG images with partial transparency and gamma correction. The PNG files that trigger this vulnerability are valid per the PNG specification; the bug is in libpng's internal state management. Upgrade to libpng 1.6.52 or later. Уязвимость функции png_image_read_composite() библиотеки libpng связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и доступность защищаемой информации с помощью специально созданного файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=7.1) - При использовании упрощенного API png_image_finish_read явно задайте цвет фона в структуре png_image (поле background). - Используйте низкоуровневый API вместо упрощенного API. - При использовании упрощенного API запросите формат вывода с альфа-каналом (PNG_FORMAT_RGBA или PNG_FORMAT_GA), чтобы избежать пути композиции. Astra Linux 3.8 python-urllib3 urllib3 is a user-friendly HTTP client library for Python. Starting in version 1.24 and prior to 2.6.0, the number of links in the decompression chain was unbounded allowing a malicious server to insert a virtually unlimited number of compression steps leading to high CPU usage and massive memory allocation for the decompressed data. This vulnerability is fixed in 2.6.0. Уязвимость HTTP библиотеки для Python Urllib3 связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-urllib3: - Использовать ПО python-urllib3 только на низком или отдельно выделенном уровне целостности - При использовании ПО python-urllib3 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-urllib3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python-tornado Tornado is a Python web framework and asynchronous networking library. In versions 6.5.2 and below, the supplied reason phrase is used unescaped in HTTP headers (where it could be used for header injection) or in HTML in the default error page (where it could be used for XSS) and can be exploited by passing untrusted or malicious data into the reason argument. Used by both RequestHandler.set_status and tornado.web.HTTPError, the argument is designed to allow applications to pass custom "reason" phrases (the "Not Found" in HTTP/1.1 404 Not Found) to the HTTP status line (mainly for non-standard status codes). This issue is fixed in version 6.5.3. [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 3.8 python-tornado Tornado is a Python web framework and asynchronous networking library. In versions 6.5.2 and below, a single maliciously crafted HTTP request can block the server's event loop for an extended period, caused by the HTTPHeaders.add method. The function accumulates values using string concatenation when the same header name is repeated, causing a Denial of Service (DoS). Due to Python string immutability, each concatenation copies the entire string, resulting in O(n²) time complexity. The severity can vary from high if max_header_size has been increased from its default, to low if it has its default value of 64KB. This issue is fixed in version 6.5.3. Уязвимость веб-фреймворка Python Tornado связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 3.8 python-tornado Tornado is a Python web framework and asynchronous networking library. Versions 6.5.2 and below use an inefficient algorithm when parsing parameters for HTTP header values, potentially causing a DoS. The _parseparam function in httputil.py is used to parse specific HTTP header values, such as those in multipart/form-data and repeatedly calls string.count() within a nested loop while processing quoted semicolons. If an attacker sends a request with a large number of maliciously crafted parameters in a Content-Disposition header, the server's CPU usage increases quadratically (O(n²)) during parsing. Due to Tornado's single event loop architecture, a single malicious request can cause the entire server to become unresponsive for an extended period. This issue is fixed in version 6.5.3. Уязвимость функции _parseparam компонента httputil.py веб-фреймворка Python Tornado связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssl Issue summary: Writing large, newline-free data into a BIO chain using the line-buffering filter where the next BIO performs short writes can trigger a heap-based out-of-bounds write. Impact summary: This out-of-bounds write can cause memory corruption which typically results in a crash, leading to Denial of Service for an application. The line-buffering BIO filter (BIO_f_linebuffer) is not used by default in TLS/SSL data paths. In OpenSSL command-line applications, it is typically only pushed onto stdout/stderr on VMS systems. Third-party applications that explicitly use this filter with a BIO chain that can short-write and that write large, newline-free data influenced by an attacker would be affected. However, the circumstances where this could happen are unlikely to be under attacker control, and BIO_f_linebuffer is unlikely to be handling non-curated data controlled by an attacker. For that reason the issue was assessed as Low severity. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the BIO implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0, 1.1.1 and 1.0.2 are vulnerable to this issue. Уязвимость функции BIO_f_linebuffer() библиотеки OpenSSL связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимость может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: most: usb: hdm_probe: Fix calling put_device() before device initialization The early error path in hdm_probe() can jump to err_free_mdev before &mdev->dev has been initialized with device_initialize(). Calling put_device(&mdev->dev) there triggers a device core WARN and ends up invoking kref_put(&kobj->kref, kobject_release) on an uninitialized kobject. In this path the private struct was only kmalloc'ed and the intended release is effectively kfree(mdev) anyway, so free it directly instead of calling put_device() on an uninitialized device. This removes the WARNING and fixes the pre-initialization error path. Уязвимость компонента hdm_probe ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_cake: Fix incorrect qlen reduction in cake_drop In cake_drop(), qdisc_tree_reduce_backlog() is used to update the qlen and backlog of the qdisc hierarchy. Its caller, cake_enqueue(), assumes that the parent qdisc will enqueue the current packet. However, this assumption breaks when cake_enqueue() returns NET_XMIT_CN: the parent qdisc stops enqueuing current packet, leaving the tree qlen/backlog accounting inconsistent. This mismatch can lead to a NULL dereference (e.g., when the parent Qdisc is qfq_qdisc). This patch computes the qlen/backlog delta in a more robust way by observing the difference before and after the series of cake_drop() calls, and then compensates the qdisc tree accounting if cake_enqueue() returns NET_XMIT_CN. To ensure correct compensation when ACK thinning is enabled, a new variable is introduced to keep qlen unchanged. Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 net-snmp net-snmp is a SNMP application library, tools and daemon. Prior to versions 5.9.5 and 5.10.pre2, a specially crafted packet to an net-snmp snmptrapd daemon can cause a buffer overflow and the daemon to crash. This issue has been patched in versions 5.9.5 and 5.10.pre2. Уязвимость демона snmptrapd набора программного обеспечения для развёртывания и использования протокола SNMP Net-SNMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного пакета [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Закрыть доступ к порту 162 из внешних сетей и обеспечить возможность подключения только от доверенных пользователей - Рассмотреть отключение snmptrapd при отсутствии необходимости Astra Linux 3.8 gnupg2 In GnuPG before 2.4.9, armor_filter in g10/armor.c has two increments of an index variable where one is intended, leading to an out-of-bounds write for crafted input. (For ExtendedLTS, 2.2.51 and later are fixed versions.) Уязвимость функции armor_filter() компонента g10/armor.c программы для шифрования информации и создания электронных цифровых подписей GnuPG связана с дублированием операций на ресурсе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-675'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) gnupg2: - Обеспечить возможность запуска gnupg2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libsodium libsodium before ad3004e, in atypical use cases involving certain custom cryptography or untrusted data to crypto_core_ed25519_is_valid_point, mishandles checks for whether an elliptic curve point is valid because it sometimes allows points that aren't in the main cryptographic group. Уязвимость криптографической библиотеки Sodium связана с использованием неполного чёрного списка. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-184')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N', score=4.5) Astra Linux 3.8 openssl Issue summary: When using the low-level OCB API directly with AES-NI or<br>other hardware-accelerated code paths, inputs whose length is not a multiple<br>of 16 bytes can leave the final partial block unencrypted and unauthenticated.<br><br>Impact summary: The trailing 1-15 bytes of a message may be exposed in<br>cleartext on encryption and are not covered by the authentication tag,<br>allowing an attacker to read or tamper with those bytes without detection.<br><br>The low-level OCB encrypt and decrypt routines in the hardware-accelerated<br>stream path process full 16-byte blocks but do not advance the input/output<br>pointers. The subsequent tail-handling code then operates on the original<br>base pointers, effectively reprocessing the beginning of the buffer while<br>leaving the actual trailing bytes unprocessed. The authentication checksum<br>also excludes the true tail bytes.<br><br>However, typical OpenSSL consumers using EVP are not affected because the<br>higher-level EVP and provider OCB implementations split inputs so that full<br>blocks and trailing partial blocks are processed in separate calls, avoiding<br>the problematic code path. Additionally, TLS does not use OCB ciphersuites.<br>The vulnerability only affects applications that call the low-level<br>CRYPTO_ocb128_encrypt() or CRYPTO_ocb128_decrypt() functions directly with<br>non-block-aligned lengths in a single call on hardware-accelerated builds.<br>For these reasons the issue was assessed as Low severity.<br><br>The FIPS modules in 3.6, 3.5, 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected<br>by this issue, as OCB mode is not a FIPS-approved algorithm.<br><br>OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue.<br><br>OpenSSL 1.0.2 is not affected by this issue. Уязвимость компонента crypto/modes/ocb128.c инструментария для протоколов TLS и SSL OpenSSL связана с отсутствием необходимого этапа шифрования. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-325')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N', score=4.0) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssl Issue summary: Calling PKCS12_get_friendlyname() function on a maliciously crafted PKCS#12 file with a BMPString (UTF-16BE) friendly name containing non-ASCII BMP code point can trigger a one byte write before the allocated buffer. Impact summary: The out-of-bounds write can cause a memory corruption which can have various consequences including a Denial of Service. The OPENSSL_uni2utf8() function performs a two-pass conversion of a PKCS#12 BMPString (UTF-16BE) to UTF-8. In the second pass, when emitting UTF-8 bytes, the helper function bmp_to_utf8() incorrectly forwards the remaining UTF-16 source byte count as the destination buffer capacity to UTF8_putc(). For BMP code points above U+07FF, UTF-8 requires three bytes, but the forwarded capacity can be just two bytes. UTF8_putc() then returns -1, and this negative value is added to the output length without validation, causing the length to become negative. The subsequent trailing NUL byte is then written at a negative offset, causing write outside of heap allocated buffer. The vulnerability is reachable via the public PKCS12_get_friendlyname() API when parsing attacker-controlled PKCS#12 files. While PKCS12_parse() uses a different code path that avoids this issue, PKCS12_get_friendlyname() directly invokes the vulnerable function. Exploitation requires an attacker to provide a malicious PKCS#12 file to be parsed by the application and the attacker can just trigger a one zero byte write before the allocated buffer. For that reason the issue was assessed as Low severity according to our Security Policy. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS#12 implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue. OpenSSL 1.0.2 is not affected by this issue. Уязвимость функции PKCS12_get_friendlyname() библиотеки OpenSSL связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssl Issue summary: A type confusion vulnerability exists in the TimeStamp Response verification code where an ASN1_TYPE union member is accessed without first validating the type, causing an invalid or NULL pointer dereference when processing a malformed TimeStamp Response file. Impact summary: An application calling TS_RESP_verify_response() with a malformed TimeStamp Response can be caused to dereference an invalid or NULL pointer when reading, resulting in a Denial of Service. The functions ossl_ess_get_signing_cert() and ossl_ess_get_signing_cert_v2() access the signing cert attribute value without validating its type. When the type is not V_ASN1_SEQUENCE, this results in accessing invalid memory through the ASN1_TYPE union, causing a crash. Exploiting this vulnerability requires an attacker to provide a malformed TimeStamp Response to an application that verifies timestamp responses. The TimeStamp protocol (RFC 3161) is not widely used and the impact of the exploit is just a Denial of Service. For these reasons the issue was assessed as Low severity. The FIPS modules in 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the TimeStamp Response implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue. OpenSSL 1.0.2 is not affected by this issue. Уязвимость функции TS_RESP_verify_response() библиотеки OpenSSL связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssl Issue summary: Processing a malformed PKCS#12 file can trigger a NULL pointer dereference in the PKCS12_item_decrypt_d2i_ex() function. Impact summary: A NULL pointer dereference can trigger a crash which leads to Denial of Service for an application processing PKCS#12 files. The PKCS12_item_decrypt_d2i_ex() function does not check whether the oct parameter is NULL before dereferencing it. When called from PKCS12_unpack_p7encdata() with a malformed PKCS#12 file, this parameter can be NULL, causing a crash. The vulnerability is limited to Denial of Service and cannot be escalated to achieve code execution or memory disclosure. Exploiting this issue requires an attacker to provide a malformed PKCS#12 file to an application that processes it. For that reason the issue was assessed as Low severity according to our Security Policy. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS#12 implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0, 1.1.1 and 1.0.2 are vulnerable to this issue. Уязвимость компонента crypto/pkcs12/p12_decr.c инструментария для протоколов TLS и SSL OpenSSL связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью искажённого PKCS#12 файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libxslt A flaw was found in the libxslt library. The same memory field, psvi, is used for both stylesheet and input data, which can lead to type confusion during XML transformations. This vulnerability allows an attacker to crash the application or corrupt memory. In some cases, it may lead to denial of service or unexpected behavior. Уязвимость поля xmlNode.psvi библиотеки libxslt связана с ошибками преобразования типов данных при обработке параметра psvi. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 3.8 ghostscript A vulnerability was found in Artifex GhostPDL up to 3989415a5b8e99b9d1b87cc9902bde9b7cdea145. It has been classified as problematic. This affects the function pdf_ferror of the file devices/vector/gdevpdf.c of the component New Output File Open Error Handler. The manipulation leads to null pointer dereference. It is possible to initiate the attack remotely. The identifier of the patch is 619a106ba4c4abed95110f84d5efcd7aee38c7cb. It is recommended to apply a patch to fix this issue. Уязвимость функции pdf_ferror() (devices/vector/gdevpdf.c) фреймворка GhostPDL связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 3.8 policykit-1 A flaw was found in polkit. When processing an XML policy with 32 or more nested elements in depth, an out-of-bounds write can be triggered. This issue can lead to a crash or other unexpected behavior, and arbitrary code execution is not discarded. To exploit this flaw, a high-privilege account is needed as it's required to place the malicious policy file properly. Уязвимость библиотеки Polkit связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю скомпрометировать уязвимую систему [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) policykit-1: - Обеспечить возможность запуска policykit только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 binutils A vulnerability was found in GNU Binutils 2.44 and classified as problematic. This issue affects the function process_debug_info of the file binutils/dwarf.c of the component DWARF Section Handler. The manipulation leads to memory leak. Attacking locally is a requirement. The identifier of the patch is e51fdff7d2e538c0e5accdd65649ac68e6e0ddd4. It is recommended to apply a patch to fix this issue. Уязвимость функции process_debug_info компонента DWARF программного средства разработки GNU Binutils связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 bind9 Querying for records within a specially crafted zone containing certain malformed DNSKEY records can lead to CPU exhaustion. This issue affects BIND 9 versions 9.18.0 through 9.18.39, 9.20.0 through 9.20.13, 9.21.0 through 9.21.12, 9.18.11-S1 through 9.18.39-S1, and 9.20.9-S1 through 9.20.13-S1. Уязвимость DNS-сервера BIND связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 libxml2 Uncontrolled recursion in XPath evaluation in libxml2 up to and including version 2.9.14 allows a local attacker to cause a stack overflow via crafted expressions. XPath processing functions `xmlXPathRunEval`, `xmlXPathCtxtCompile`, and `xmlXPathEvalExpr` were resetting recursion depth to zero before making potentially recursive calls. When such functions were called recursively this could allow for uncontrolled recursion and lead to a stack overflow. These functions now preserve recursion depth across recursive calls, allowing recursion depth to be controlled. Уязвимость библиотеки Libxml2 связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 gnutls28 A flaw was found in the GnuTLS library, specifically in the gnutls_pkcs11_token_init() function that handles PKCS#11 token initialization. When a token label longer than expected is processed, the function writes past the end of a fixed-size stack buffer. This programming error can cause the application using GnuTLS to crash or, in certain conditions, be exploited for code execution. As a result, systems or applications relying on GnuTLS may be vulnerable to a denial of service or local privilege escalation attacks. Уязвимость функции gnutls_pkcs11_token_init() библиотеки безопасности транспортного уровня GnuTLS связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 3.8 openssl Issue summary: An invalid or NULL pointer dereference can happen in an application processing a malformed PKCS#12 file. Impact summary: An application processing a malformed PKCS#12 file can be caused to dereference an invalid or NULL pointer on memory read, resulting in a Denial of Service. A type confusion vulnerability exists in PKCS#12 parsing code where an ASN1_TYPE union member is accessed without first validating the type, causing an invalid pointer read. The location is constrained to a 1-byte address space, meaning any attempted pointer manipulation can only target addresses between 0x00 and 0xFF. This range corresponds to the zero page, which is unmapped on most modern operating systems and will reliably result in a crash, leading only to a Denial of Service. Exploiting this issue also requires a user or application to process a maliciously crafted PKCS#12 file. It is uncommon to accept untrusted PKCS#12 files in applications as they are usually used to store private keys which are trusted by definition. For these reasons, the issue was assessed as Low severity. The FIPS modules in 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS12 implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue. OpenSSL 1.0.2 is not affected by this issue. Уязвимость кода парсинга файлов формата PKCS#12 библиотеки OpenSSL связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимость может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssl Issue summary: A type confusion vulnerability exists in the signature verification of signed PKCS#7 data where an ASN1_TYPE union member is accessed without first validating the type, causing an invalid or NULL pointer dereference when processing malformed PKCS#7 data. Impact summary: An application performing signature verification of PKCS#7 data or calling directly the PKCS7_digest_from_attributes() function can be caused to dereference an invalid or NULL pointer when reading, resulting in a Denial of Service. The function PKCS7_digest_from_attributes() accesses the message digest attribute value without validating its type. When the type is not V_ASN1_OCTET_STRING, this results in accessing invalid memory through the ASN1_TYPE union, causing a crash. Exploiting this vulnerability requires an attacker to provide a malformed signed PKCS#7 to an application that verifies it. The impact of the exploit is just a Denial of Service, the PKCS7 API is legacy and applications should be using the CMS API instead. For these reasons the issue was assessed as Low severity. The FIPS modules in 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS#7 parsing implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0, 1.1.1 and 1.0.2 are vulnerable to this issue. Уязвимость функции PKCS7_digest_from_attributes() библиотеки OpenSSL связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 inetutils telnetd in GNU Inetutils through 2.7 allows remote authentication bypass via a "-f root" value for the USER environment variable. Уязвимость функции _var_short_name компонента telnetd/utility.c набора сетевых программ InetUtils связана с внедрением или модификацией аргумента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-88')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо запретить использование службы telnet: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/inetd.conf. 2. Закомментировать строки, содержащие подстроку telnet, например: ``` # telnet stream tcp nowait root /usr/sbin/tcpd /usr/sbin/telnetd ``` 3. Перезапустить сервер inetd: ``` sudo systemctl restart inetutils-inetd ``` 4. Выполнить проверку, что при попытке подключения через telnet в соединении будет отказано: ``` telnet localhost ``` Astra Linux 3.8 libssh2 libssh2 through 1.11.1, fixed in commit 7acf3df contains an out-of-bounds write vulnerability in ssh2_transport_read() that fails to enforce upper bounds on packet_length field. Remote attackers can send crafted SSH packets with excessively large packet_length values to corrupt heap memory and achieve remote code execution. Уязвимость функции ssh2_transport_read() библиотеки libssh2 связана с переполнением буфера в связи с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданных SSH-пакетов [NistCWE(cwe='CWE-680')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 3.8 expat libexpat in Expat before 2.7.2 allows attackers to trigger large dynamic memory allocations via a small document that is submitted for parsing. Уязвимость библиотеки для анализа XML-файлов libexpat связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) expat: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 3.8 libmodbus Stack-based Buffer Overflow vulnerability in libmodbus v3.1.10 allows to overflow the buffer allocated for the Modbus response if the function tries to reply to a Modbus request with an unexpected length. Уязвимость библиотеки взаимодействия с устройствами Modbus LibModbus связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L', score=4.8) Astra Linux 3.8 poppler Poppler 24.06.1 through 25.x before 25.04.0 allows stack consumption and a SIGSEGV via deeply nested structures within the metadata (such as GTS_PDFEVersion) of a PDF document, e.g., a regular expression for a long pdfsubver string. This occurs in Dict::lookup, Catalog::getMetadata, and associated functions in PDFDoc, with deep recursion in the regex executor (std::__detail::_Executor). Уязвимость библиотеки для отображения PDF-файлов Poppler связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) - Избегайте анализа ненадежных PDF-файлов с помощью уязвимых сборок Poppler. - Внедрите страницы защиты стека и ограничения размера стека ulimit для утилит командной строки. - Используйте изолированные контейнеры для автоматизированных рабочих процессов анализа PDF-файлов. - Примените фаззинговые регрессионные тесты для рекурсивных структур метаданных. Astra Linux 3.8 poppler An issue in the pdfseparate utility of freedesktop poppler v25.04.0 allows attackers to cause an infinite recursion via supplying a crafted PDF file. This can lead to a Denial of Service (DoS). Уязвимость библиотеки для отображения PDF-файлов Poppler связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 poppler Poppler ia a library for rendering PDF files, and examining or modifying their structure. A use-after-free (write) vulnerability has been detected in versions Poppler prior to 25.10.0 within the StructTreeRoot class. The issue arises from the use of raw pointers to elements of a `std::vector`, which can lead to dangling pointers when the vector is resized. The vulnerability stems from the way that refToParentMap stores references to `std::vector` elements using raw pointers. These pointers may become invalid when the vector is resized. This vulnerability is a common security problem involving the use of raw pointers to `std::vectors`. Internally, `std::vector `stores its elements in a dynamically allocated array. When the array reaches its capacity and a new element is added, the vector reallocates a larger block of memory and moves all the existing elements to the new location. At this point if any pointers to elements are stored before a resize occurs, they become dangling pointers once the reallocation happens. Version 25.10.0 contains a patch for the issue. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None None poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 3.8 wpa In hostapd 2.10 and earlier, the PKEX code remains active even after a successful PKEX association. An attacker that successfully bootstrapped public keys with another entity using PKEX in the past, will be able to subvert a future bootstrapping by passively observing public keys, re-using the encrypting element Qi and subtracting it from the captured message M (X = M - Qi). This will result in the public ephemeral key X; the only element required to subvert the PKEX association. Уязвимость клиента защищённого доступа Wi-Fi WPA Supplicant связана с повторным использованием контрольного слова. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-323')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) wpa: - Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth) - При необходимости использования WiFi - использовать для защиты данных сети VPN - Использовать ПО wpa только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО wpa только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать ПО wpa с минимально необходимыми правами доступа - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "net/mlx5: Block entering switchdev mode with ns inconsistency" This reverts commit 662404b24a4c4d839839ed25e3097571f5938b9b. The revert is required due to the suspicion it is not good for anything and cause crash. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/eswitch_offloads.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-cgroup: Reinit blkg_iostat_set after clearing in blkcg_reset_stats() When blkg_alloc() is called to allocate a blkcg_gq structure with the associated blkg_iostat_set's, there are 2 fields within blkg_iostat_set that requires proper initialization - blkg & sync. The former field was introduced by commit 3b8cc6298724 ("blk-cgroup: Optimize blkcg_rstat_flush()") while the later one was introduced by commit f73316482977 ("blk-cgroup: reimplement basic IO stats using cgroup rstat"). Unfortunately those fields in the blkg_iostat_set's are not properly re-initialized when they are cleared in v1's blkcg_reset_stats(). This can lead to a kernel panic due to NULL pointer access of the blkg pointer. The missing initialization of sync is less problematic and can be a problem in a debug kernel due to missing lockdep initialization. Fix these problems by re-initializing them after memory clearing. Уязвимость функции blkcg_reset_stats() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: mediatek: fix of_iomap memory leak Smatch reports: drivers/clk/mediatek/clk-mtk.c:583 mtk_clk_simple_probe() warn: 'base' from of_iomap() not released on lines: 496. This problem was also found in linux-next. In mtk_clk_simple_probe(), base is not released when handling errors if clk_data is not existed, which may cause a leak. So free_base should be added here to release base. Уязвимость компонента drivers/clk/mediatek/clk-mtk.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 freeipa A flaw was found in the FreeIPA API audit, where it sends the whole FreeIPA command line to journalctl. As a consequence, during the FreeIPA installation process, it inadvertently leaks the administrative user credentials, including the administrator password, to the journal database. In the worst-case scenario, where the journal log is centralized, users with access to it can have improper access to the FreeIPA administrator credentials. Уязвимость программного обеспечения централизованного управления идентификацией FreeIPA связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: set correct id, uid and cruid for multiuser automounts When uid, gid and cruid are not specified, we need to dynamically set them into the filesystem context used for automounting otherwise they'll end up reusing the values from the parent mount. Уязвимость компонента smb ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix NULL pointer dereference in gfs2_log_flush In gfs2_jindex_free(), set sdp->sd_jdesc to NULL under the log flush lock to provide exclusion against gfs2_log_flush(). In gfs2_log_flush(), check if sdp->sd_jdesc is non-NULL before dereferencing it. Otherwise, we could run into a NULL pointer dereference when outstanding glock work races with an unmount (glock_work_func -> run_queue -> do_xmote -> inode_go_sync -> gfs2_log_flush). Уязвимость функции gfs2_jindex_free() модуля fs/gfs2/super.c файловой системы GFS2 ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 grub2 A flaw was found in grub2. A specially crafted JPEG file can cause the JPEG parser of grub2 to incorrectly check the bounds of its internal buffers, resulting in an out-of-bounds write. The possibility of overwriting sensitive information to bypass secure boot protections is not discarded. Уязвимость конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного JPEG файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2 where the grub_extcmd_dispatcher() function calls grub_arg_list_alloc() to allocate memory for the grub's argument list. However, it fails to check in case the memory allocation fails. Once the allocation fails, a NULL point will be processed by the parse_option() function, leading grub to crash or, in some rare scenarios, corrupt the IVT data. Уязвимость функции grub_extcmd_dispatcher() загрузчика операционных систем Grub2 связана с некорректной проверкой возвращаемого значения функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:H', score=5.2) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 When reading the language .mo file in grub_mofile_open(), grub2 fails to verify an integer overflow when allocating its internal buffer. A crafted .mo file may lead the buffer size calculation to overflow, leading to out-of-bound reads and writes. This flaw allows an attacker to leak sensitive data or overwrite critical data, possibly circumventing secure boot protections. Уязвимость функции grub_mofile_open() файла .mo загрузчика операционных систем Grub2 связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю обойти существующие ограничения безопасности и раскрыть защищаемую информацию [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. The calculation of the translation buffer when reading a language .mo file in grub_gettext_getstr_from_position() may overflow, leading to a Out-of-bound write. This issue can be leveraged by an attacker to overwrite grub2's sensitive heap data, eventually leading to the circumvention of secure boot protections. Уязвимость компонента gettext загрузчика операционных систем Grub связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A stack overflow flaw was found when reading a BFS file system. A crafted BFS filesystem may lead to an uncontrolled loop, causing grub2 to crash. Уязвимость файловой системы BFS связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.1) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 An integer overflow flaw was found in the BFS file system driver in grub2. When reading a file with an indirect extent map, grub2 fails to validate the number of extent entries to be read. A crafted or corrupted BFS filesystem may cause an integer overflow during the file reading, leading to a heap of bounds read. As a consequence, sensitive data may be leaked, or grub2 will crash. Уязвимость файловой системы BFS загрузчика операционных систем Grub2 связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:H', score=6.0) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When reading tar files, grub2 allocates an internal buffer for the file name. However, it fails to properly verify the allocation against possible integer overflows. It's possible to cause the allocation length to overflow with a crafted tar file, leading to a heap out-of-bounds write. This flaw eventually allows an attacker to circumvent secure boot protections. Уязвимость компонента tar Handler загрузчика операционных систем Grub2 связана с записью за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю обойти механизм безопасной загрузки [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When reading a symbolic link's name from a UFS filesystem, grub2 fails to validate the string length taken as an input. The lack of validation may lead to a heap out-of-bounds write, causing data integrity issues and eventually allowing an attacker to circumvent secure boot protections. Уязвимость файловой системы UFS загрузчика операционных систем Grub2 связана с записью за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю обойти механизм безопасной загрузки [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A flaw was found in grub2. When failing to mount an HFS+ grub, the hfsplus filesystem driver doesn't properly set an ERRNO value. This issue may lead to a NULL pointer access. Уязвимость драйвера файловой системы hfsplus загрузчика операционных систем Grub2 связана с некорректным манипулированием счётчиком ссылок на ресурс. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-911')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fscache: delete fscache_cookie_lru_timer when fscache exits to avoid UAF The fscache_cookie_lru_timer is initialized when the fscache module is inserted, but is not deleted when the fscache module is removed. If timer_reduce() is called before removing the fscache module, the fscache_cookie_lru_timer will be added to the timer list of the current cpu. Afterwards, a use-after-free will be triggered in the softIRQ after removing the fscache module, as follows: ================================================================== BUG: unable to handle page fault for address: fffffbfff803c9e9 PF: supervisor read access in kernel mode PF: error_code(0x0000) - not-present page PGD 21ffea067 P4D 21ffea067 PUD 21ffe6067 PMD 110a7c067 PTE 0 Oops: Oops: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 1 UID: 0 PID: 0 Comm: swapper/1 Tainted: G W 6.11.0-rc3 #855 Tainted: [W]=WARN RIP: 0010:__run_timer_base.part.0+0x254/0x8a0 Call Trace: <IRQ> tmigr_handle_remote_up+0x627/0x810 __walk_groups.isra.0+0x47/0x140 tmigr_handle_remote+0x1fa/0x2f0 handle_softirqs+0x180/0x590 irq_exit_rcu+0x84/0xb0 sysvec_apic_timer_interrupt+0x6e/0x90 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 RIP: 0010:default_idle+0xf/0x20 default_idle_call+0x38/0x60 do_idle+0x2b5/0x300 cpu_startup_entry+0x54/0x60 start_secondary+0x20d/0x280 common_startup_64+0x13e/0x148 </TASK> Modules linked in: [last unloaded: netfs] ================================================================== Therefore delete fscache_cookie_lru_timer when removing the fscahe module. Уязвимость функции fscache_exit() в модуле fs/netfs/fscache_main.c файловой системы netfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: filesystems without casefold feature cannot be mounted with siphash When mounting the ext4 filesystem, if the default hash version is set to DX_HASH_SIPHASH but the casefold feature is not set, exit the mounting. Уязвимость компонента fs/ext4 ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: set ATTR_CTIME flags when setting mtime David reported that the new warning from setattr_copy_mgtime is coming like the following. [ 113.215316] ------------[ cut here ]------------ [ 113.215974] WARNING: CPU: 1 PID: 31 at fs/attr.c:300 setattr_copy+0x1ee/0x200 [ 113.219192] CPU: 1 UID: 0 PID: 31 Comm: kworker/1:1 Not tainted 6.13.0-rc1+ #234 [ 113.220127] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-3-gd478f380-rebuilt.opensuse.org 04/01/2014 [ 113.221530] Workqueue: ksmbd-io handle_ksmbd_work [ksmbd] [ 113.222220] RIP: 0010:setattr_copy+0x1ee/0x200 [ 113.222833] Code: 24 28 49 8b 44 24 30 48 89 53 58 89 43 6c 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc 48 89 df e8 77 d6 ff ff e9 cd fe ff ff <0f> 0b e9 be fe ff ff 66 0 [ 113.225110] RSP: 0018:ffffaf218010fb68 EFLAGS: 00010202 [ 113.225765] RAX: 0000000000000120 RBX: ffffa446815f8568 RCX: 0000000000000003 [ 113.226667] RDX: ffffaf218010fd38 RSI: ffffa446815f8568 RDI: ffffffff94eb03a0 [ 113.227531] RBP: ffffaf218010fb90 R08: 0000001a251e217d R09: 00000000675259fa [ 113.228426] R10: 0000000002ba8a6d R11: ffffa4468196c7a8 R12: ffffaf218010fd38 [ 113.229304] R13: 0000000000000120 R14: ffffffff94eb03a0 R15: 0000000000000000 [ 113.230210] FS: 0000000000000000(0000) GS:ffffa44739d00000(0000) knlGS:0000000000000000 [ 113.231215] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 113.232055] CR2: 00007efe0053d27e CR3: 000000000331a000 CR4: 00000000000006b0 [ 113.232926] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 113.233812] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 113.234797] Call Trace: [ 113.235116] <TASK> [ 113.235393] ? __warn+0x73/0xd0 [ 113.235802] ? setattr_copy+0x1ee/0x200 [ 113.236299] ? report_bug+0xf3/0x1e0 [ 113.236757] ? handle_bug+0x4d/0x90 [ 113.237202] ? exc_invalid_op+0x13/0x60 [ 113.237689] ? asm_exc_invalid_op+0x16/0x20 [ 113.238185] ? setattr_copy+0x1ee/0x200 [ 113.238692] btrfs_setattr+0x80/0x820 [btrfs] [ 113.239285] ? get_stack_info_noinstr+0x12/0xf0 [ 113.239857] ? __module_address+0x22/0xa0 [ 113.240368] ? handle_ksmbd_work+0x6e/0x460 [ksmbd] [ 113.240993] ? __module_text_address+0x9/0x50 [ 113.241545] ? __module_address+0x22/0xa0 [ 113.242033] ? unwind_next_frame+0x10e/0x920 [ 113.242600] ? __pfx_stack_trace_consume_entry+0x10/0x10 [ 113.243268] notify_change+0x2c2/0x4e0 [ 113.243746] ? stack_depot_save_flags+0x27/0x730 [ 113.244339] ? set_file_basic_info+0x130/0x2b0 [ksmbd] [ 113.244993] set_file_basic_info+0x130/0x2b0 [ksmbd] [ 113.245613] ? process_scheduled_works+0xbe/0x310 [ 113.246181] ? worker_thread+0x100/0x240 [ 113.246696] ? kthread+0xc8/0x100 [ 113.247126] ? ret_from_fork+0x2b/0x40 [ 113.247606] ? ret_from_fork_asm+0x1a/0x30 [ 113.248132] smb2_set_info+0x63f/0xa70 [ksmbd] ksmbd is trying to set the atime and mtime via notify_change without also setting the ctime. so This patch add ATTR_CTIME flags when setting mtime to avoid a warning. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 network-manager A flaw was found in NetworkManager. When a system running NetworkManager with DEBUG logs enabled and an interface eth1 configured with LLDP enabled, a malicious user could inject a malformed LLDP packet. NetworkManager would crash, leading to a denial of service. Уязвимость программного обеспечения управления сетевыми соединениями NetworkManager связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) Astra Linux 3.8 unbound NLnet Labs Unbound up to and including version 1.24.1 is vulnerable to possible domain hijack attacks. Promiscuous NS RRSets that complement positive DNS replies in the authority section can be used to trick resolvers to update their delegation information for the zone. Usually these RRSets are used to update the resolver's knowledge of the zone's name servers. A malicious actor can exploit the possible poisonous effect by injecting NS RRSets (and possibly their respective address records) in a reply. This could be done for example by trying to spoof a packet or fragmentation attacks. Unbound would then proceed to update the NS RRSet data it already has since the new data has enough trust for it, i.e., in-zone data for the delegation point. Unbound 1.24.1 includes a fix that scrubs unsolicited NS RRSets (and their respective address records) from replies mitigating the possible poison effect. Unbound 1.24.2 includes an additional fix that scrubs unsolicited NS RRSets (and their respective address records) from YXDOMAIN and non-referral nodata replies, further mitigating the possible poison effect. Уязвимость DNS-сервера unbound связана с загрузкой внешних ненадёжных данных вместе с надёжными данными. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-349')] None None unbound: - включить и настроить межсетевой экран ufw для фильтрации трафика; - запускайте unbound с минимально необходимыми привилегиями; - обеспечить возможность запуска ПО unbound только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2. Astra Linux 3.8 python3.11 When folding a long comment in an email header containing exclusively unfoldable characters, the parenthesis would not be preserved. This could be used for injecting headers into email messages where addresses are user-controlled and not sanitized. Уязвимость интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 When building nested elements using xml.dom.minidom methods such as appendChild() that have a dependency on _clear_id_cache() the algorithm is quadratic. Availability can be impacted when building excessively nested documents. Уязвимость функций appendChild() и _clear_id_cache() интерпретатора языка программирования Python (CPython) связана с алгоритмической сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libtasn1-6 Stack-based buffer overflow in libtasn1 version: v4.20.0. The function fails to validate the size of input data resulting in a buffer overflow in asn1_expend_octet_string. Уязвимость ASN.1 библиотеки Libtasn1 связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libtasn1-6: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libtasn1-6 исключительно группой root. Astra Linux 3.8 python3.11 The "tarfile" module would still apply normalization of AREGTYPE (\x00) blocks to DIRTYPE, even while processing a multi-block member such as GNUTYPE_LONGNAME or GNUTYPE_LONGLINK. This could result in a crafted tar archive being misinterpreted by the tarfile module compared to other implementations. Уязвимость интерпретатора языка программирования Python связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.3) - Удалить ПО python, pypy если они не используются и не являются зависимостями других пакетов - По возможности отказаться от использования модуля tarfile - При использовании ПО python, pypy выполнять обработку файлов, полученных из только доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 When reading an HTTP response from a server, if no read amount is specified, the default behavior will be to use Content-Length. This allows a malicious server to cause the client to read large amounts of data into memory, potentially causing OOM or other DoS. Уязвимость компонента Lib/http/client.py интерпретатора языка программирования Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 When loading a plist file, the plistlib module reads data in size specified by the file itself, meaning a malicious file can cause OOM and DoS issues Уязвимость модуля plistlib интерпретатора языка программирования Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 curl When doing multi-threaded LDAPS transfers (LDAP over TLS) with libcurl, changing TLS options in one thread would inadvertently change them globally and therefore possibly also affect other concurrently setup transfers. Disabling certificate verification for a specific transfer could unintentionally disable the feature for other threads as well. Уязвимость библиотеки libcurl программного средства для взаимодействия с серверами cURL связана с неправильным подтверждением подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 glib2.0 A flaw was found in GLib (Gnome Lib). This vulnerability allows a remote attacker to cause heap corruption, leading to a denial of service or potential code execution via a buffer-underflow in the GVariant parser when processing maliciously crafted input strings. Уязвимость набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 curl When doing SSH-based transfers using either SCP or SFTP, and setting the known_hosts file, libcurl could still mistakenly accept connecting to hosts *not present* in the specified file if they were added as recognized in the libssh *global* known_hosts file. Уязвимость компонента libssh.c программного средства для взаимодействия с серверами CURL связана с отсутствием проверки хостовых данных сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-297')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 3.8 glibc Calling wordexp with WRDE_REUSE in conjunction with WRDE_APPEND in the GNU C Library version 2.0 to version 2.42 may cause the interface to return uninitialized memory in the we_wordv member, which on subsequent calls to wordfree may abort the process. Уязвимость компонентов posix системной библиотеки GNU C Library связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) При использовании функции wordexp библиотеки glibc необходимо обеспечить, чтобы в нее не передавались одновременно флаги WRDE_REUSE и WRDE_APPEND. Astra Linux 3.8 python3.11 User-controlled data URLs parsed by urllib.request.DataHandler allow injecting headers through newlines in the data URL mediatype. Уязвимость компонента urllib.request.DataHandler интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 The imaplib module, when passed a user-controlled command, can have additional commands injected using newlines. Mitigation rejects commands containing control characters. Уязвимость модуля imaplib интерпретатора языка программирования Python связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-77')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 The poplib module, when passed a user-controlled command, can have additional commands injected using newlines. Mitigation rejects commands containing control characters. Уязвимость модуля poplib интерпретатора языка программирования Python связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-77')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix out-of-bounds in parse_sec_desc() If osidoffset, gsidoffset and dacloffset could be greater than smb_ntsd struct size. If it is smaller, It could cause slab-out-of-bounds. And when validating sid, It need to check it included subauth array size. Уязвимость компонента fs/smb/server/smbacl.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: xhci: Apply the link chain quirk on NEC isoc endpoints Two clearly different specimens of NEC uPD720200 (one with start/stop bug, one without) were seen to cause IOMMU faults after some Missed Service Errors. Faulting address is immediately after a transfer ring segment and patched dynamic debug messages revealed that the MSE was received when waiting for a TD near the end of that segment: [ 1.041954] xhci_hcd: Miss service interval error for slot 1 ep 2 expected TD DMA ffa08fe0 [ 1.042120] xhci_hcd: AMD-Vi: Event logged [IO_PAGE_FAULT domain=0x0005 address=0xffa09000 flags=0x0000] [ 1.042146] xhci_hcd: AMD-Vi: Event logged [IO_PAGE_FAULT domain=0x0005 address=0xffa09040 flags=0x0000] It gets even funnier if the next page is a ring segment accessible to the HC. Below, it reports MSE in segment at ff1e8000, plows through a zero-filled page at ff1e9000 and starts reporting events for TRBs in page at ff1ea000 every microframe, instead of jumping to seg ff1e6000. [ 7.041671] xhci_hcd: Miss service interval error for slot 1 ep 2 expected TD DMA ff1e8fe0 [ 7.041999] xhci_hcd: Miss service interval error for slot 1 ep 2 expected TD DMA ff1e8fe0 [ 7.042011] xhci_hcd: WARN: buffer overrun event for slot 1 ep 2 on endpoint [ 7.042028] xhci_hcd: All TDs skipped for slot 1 ep 2. Clear skip flag. [ 7.042134] xhci_hcd: WARN: buffer overrun event for slot 1 ep 2 on endpoint [ 7.042138] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 31 [ 7.042144] xhci_hcd: Looking for event-dma 00000000ff1ea040 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 [ 7.042259] xhci_hcd: WARN: buffer overrun event for slot 1 ep 2 on endpoint [ 7.042262] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 31 [ 7.042266] xhci_hcd: Looking for event-dma 00000000ff1ea050 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 At some point completion events change from Isoch Buffer Overrun to Short Packet and the HC finally finds cycle bit mismatch in ff1ec000. [ 7.098130] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 13 [ 7.098132] xhci_hcd: Looking for event-dma 00000000ff1ecc50 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 [ 7.098254] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 13 [ 7.098256] xhci_hcd: Looking for event-dma 00000000ff1ecc60 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 [ 7.098379] xhci_hcd: Overrun event on slot 1 ep 2 It's possible that data from the isochronous device were written to random buffers of pending TDs on other endpoints (either IN or OUT), other devices or even other HCs in the same IOMMU domain. Lastly, an error from a different USB device on another HC. Was it caused by the above? I don't know, but it may have been. The disk was working without any other issues and generated PCIe traffic to starve the NEC of upstream BW and trigger those MSEs. The two HCs shared one x1 slot by means of a commercial "PCIe splitter" board. [ 7.162604] usb 10-2: reset SuperSpeed USB device number 3 using xhci_hcd [ 7.178990] sd 9:0:0:0: [sdb] tag#0 UNKNOWN(0x2003) Result: hostbyte=0x07 driverbyte=DRIVER_OK cmd_age=0s [ 7.179001] sd 9:0:0:0: [sdb] tag#0 CDB: opcode=0x28 28 00 04 02 ae 00 00 02 00 00 [ 7.179004] I/O error, dev sdb, sector 67284480 op 0x0:(READ) flags 0x80700 phys_seg 5 prio class 0 Fortunately, it appears that this ridiculous bug is avoided by setting the chain bit of Link TRBs on isochronous rings. Other ancient HCs are known which also expect the bit to be set and they ignore Link TRBs if it's not. Reportedly, 0.95 spec guaranteed that the bit is set. The bandwidth-starved NEC HC running a 32KB/uframe UVC endpoint reports tens of MSEs per second and runs into the bug within seconds. Chaining Link TRBs allows the same workload to run for many minutes, many times. No ne ---truncated--- Уязвимость компонента drivers/usb/host/xhci.h ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: don't ignore the return code of svc_proc_register() Currently, nfsd_proc_stat_init() ignores the return value of svc_proc_register(). If the procfile creation fails, then the kernel will WARN when it tries to remove the entry later. Fix nfsd_proc_stat_init() to return the same type of pointer as svc_proc_register(), and fix up nfsd_net_init() to check that and fail the nfsd_net construction if it occurs. svc_proc_register() can fail if the dentry can't be allocated, or if an identical dentry already exists. The second case is pretty unlikely in the nfsd_net construction codepath, so if this happens, return -ENOMEM. Уязвимость компонентов nfsd ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost-scsi: Fix handling of multiple calls to vhost_scsi_set_endpoint If vhost_scsi_set_endpoint is called multiple times without a vhost_scsi_clear_endpoint between them, we can hit multiple bugs found by Haoran Zhang: 1. Use-after-free when no tpgs are found: This fixes a use after free that occurs when vhost_scsi_set_endpoint is called more than once and calls after the first call do not find any tpgs to add to the vs_tpg. When vhost_scsi_set_endpoint first finds tpgs to add to the vs_tpg array match=true, so we will do: vhost_vq_set_backend(vq, vs_tpg); ... kfree(vs->vs_tpg); vs->vs_tpg = vs_tpg; If vhost_scsi_set_endpoint is called again and no tpgs are found match=false so we skip the vhost_vq_set_backend call leaving the pointer to the vs_tpg we then free via: kfree(vs->vs_tpg); vs->vs_tpg = vs_tpg; If a scsi request is then sent we do: vhost_scsi_handle_vq -> vhost_scsi_get_req -> vhost_vq_get_backend which sees the vs_tpg we just did a kfree on. 2. Tpg dir removal hang: This patch fixes an issue where we cannot remove a LIO/target layer tpg (and structs above it like the target) dir due to the refcount dropping to -1. The problem is that if vhost_scsi_set_endpoint detects a tpg is already in the vs->vs_tpg array or if the tpg has been removed so target_depend_item fails, the undepend goto handler will do target_undepend_item on all tpgs in the vs_tpg array dropping their refcount to 0. At this time vs_tpg contains both the tpgs we have added in the current vhost_scsi_set_endpoint call as well as tpgs we added in previous calls which are also in vs->vs_tpg. Later, when vhost_scsi_clear_endpoint runs it will do target_undepend_item on all the tpgs in the vs->vs_tpg which will drop their refcount to -1. Userspace will then not be able to remove the tpg and will hang when it tries to do rmdir on the tpg dir. 3. Tpg leak: This fixes a bug where we can leak tpgs and cause them to be un-removable because the target name is overwritten when vhost_scsi_set_endpoint is called multiple times but with different target names. The bug occurs if a user has called VHOST_SCSI_SET_ENDPOINT and setup a vhost-scsi device to target/tpg mapping, then calls VHOST_SCSI_SET_ENDPOINT again with a new target name that has tpgs we haven't seen before (target1 has tpg1 but target2 has tpg2). When this happens we don't teardown the old target tpg mapping and just overwrite the target name and the vs->vs_tpg array. Later when we do vhost_scsi_clear_endpoint, we are passed in either target1 or target2's name and we will only match that target's tpgs when we loop over the vs->vs_tpg. We will then return from the function without doing target_undepend_item on the tpgs. Because of all these bugs, it looks like being able to call vhost_scsi_set_endpoint multiple times was never supported. The major user, QEMU, already has checks to prevent this use case. So to fix the issues, this patch prevents vhost_scsi_set_endpoint from being called if it's already successfully added tpgs. To add, remove or change the tpg config or target name, you must do a vhost_scsi_clear_endpoint first. Уязвимость компонента drivers/vhost/scsi.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm/pat: Fix VM_PAT handling when fork() fails in copy_page_range() If track_pfn_copy() fails, we already added the dst VMA to the maple tree. As fork() fails, we'll cleanup the maple tree, and stumble over the dst VMA for which we neither performed any reservation nor copied any page tables. Consequently untrack_pfn() will see VM_PAT and try obtaining the PAT information from the page table -- which fails because the page table was not copied. The easiest fix would be to simply clear the VM_PAT flag of the dst VMA if track_pfn_copy() fails. However, the whole thing is about "simply" clearing the VM_PAT flag is shaky as well: if we passed track_pfn_copy() and performed a reservation, but copying the page tables fails, we'll simply clear the VM_PAT flag, not properly undoing the reservation ... which is also wrong. So let's fix it properly: set the VM_PAT flag only if the reservation succeeded (leaving it clear initially), and undo the reservation if anything goes wrong while copying the page tables: clearing the VM_PAT flag after undoing the reservation. Note that any copied page table entries will get zapped when the VMA will get removed later, after copy_page_range() succeeded; as VM_PAT is not set then, we won't try cleaning VM_PAT up once more and untrack_pfn() will be happy. Note that leaving these page tables in place without a reservation is not a problem, as we are aborting fork(); this process will never run. A reproducer can trigger this usually at the first try: https://gitlab.com/davidhildenbrand/scratchspace/-/raw/main/reproducers/pat_fork.c WARNING: CPU: 26 PID: 11650 at arch/x86/mm/pat/memtype.c:983 get_pat_info+0xf6/0x110 Modules linked in: ... CPU: 26 UID: 0 PID: 11650 Comm: repro3 Not tainted 6.12.0-rc5+ #92 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:get_pat_info+0xf6/0x110 ... Call Trace: <TASK> ... untrack_pfn+0x52/0x110 unmap_single_vma+0xa6/0xe0 unmap_vmas+0x105/0x1f0 exit_mmap+0xf6/0x460 __mmput+0x4b/0x120 copy_process+0x1bf6/0x2aa0 kernel_clone+0xab/0x440 __do_sys_clone+0x66/0x90 do_syscall_64+0x95/0x180 Likely this case was missed in: d155df53f310 ("x86/mm/pat: clear VM_PAT if copy_p4d_range failed") ... and instead of undoing the reservation we simply cleared the VM_PAT flag. Keep the documentation of these functions in include/linux/pgtable.h, one place is more than sufficient -- we should clean that up for the other functions like track_pfn_remap/untrack_pfn separately. Уязвимость функции get_pat_info() модуля arch/x86/mm/pat/memtype.c платформы x86 ядра операционной системы Linux связана с раскрытием конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: sja1105: fix kasan out-of-bounds warning in sja1105_table_delete_entry() There are actually 2 problems: - deleting the last element doesn't require the memmove of elements [i + 1, end) over it. Actually, element i+1 is out of bounds. - The memmove itself should move size - i - 1 elements, because the last element is out of bounds. The out-of-bounds element still remains out of bounds after being accessed, so the problem is only that we touch it, not that it becomes in active use. But I suppose it can lead to issues if the out-of-bounds element is part of an unmapped page. Уязвимость компонента drivers/net/dsa/sja1105/sja1105_static_config.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: Remove RTNL dance for SIOCBRADDIF and SIOCBRDELIF. SIOCBRDELIF is passed to dev_ioctl() first and later forwarded to br_ioctl_call(), which causes unnecessary RTNL dance and the splat below [0] under RTNL pressure. Let's say Thread A is trying to detach a device from a bridge and Thread B is trying to remove the bridge. In dev_ioctl(), Thread A bumps the bridge device's refcnt by netdev_hold() and releases RTNL because the following br_ioctl_call() also re-acquires RTNL. In the race window, Thread B could acquire RTNL and try to remove the bridge device. Then, rtnl_unlock() by Thread B will release RTNL and wait for netdev_put() by Thread A. Thread A, however, must hold RTNL after the unlock in dev_ifsioc(), which may take long under RTNL pressure, resulting in the splat by Thread B. Thread A (SIOCBRDELIF) Thread B (SIOCBRDELBR) ---------------------- ---------------------- sock_ioctl sock_ioctl `- sock_do_ioctl `- br_ioctl_call `- dev_ioctl `- br_ioctl_stub |- rtnl_lock | |- dev_ifsioc ' ' |- dev = __dev_get_by_name(...) |- netdev_hold(dev, ...) . / |- rtnl_unlock ------. | | |- br_ioctl_call `---> |- rtnl_lock Race | | `- br_ioctl_stub |- br_del_bridge Window | | | |- dev = __dev_get_by_name(...) | | | May take long | `- br_dev_delete(dev, ...) | | | under RTNL pressure | `- unregister_netdevice_queue(dev, ...) | | | | `- rtnl_unlock \ | |- rtnl_lock <-' `- netdev_run_todo | |- ... `- netdev_run_todo | `- rtnl_unlock |- __rtnl_unlock | |- netdev_wait_allrefs_any |- netdev_put(dev, ...) <----------------' Wait refcnt decrement and log splat below To avoid blocking SIOCBRDELBR unnecessarily, let's not call dev_ioctl() for SIOCBRADDIF and SIOCBRDELIF. In the dev_ioctl() path, we do the following: 1. Copy struct ifreq by get_user_ifreq in sock_do_ioctl() 2. Check CAP_NET_ADMIN in dev_ioctl() 3. Call dev_load() in dev_ioctl() 4. Fetch the master dev from ifr.ifr_name in dev_ifsioc() 3. can be done by request_module() in br_ioctl_call(), so we move 1., 2., and 4. to br_ioctl_stub(). Note that 2. is also checked later in add_del_if(), but it's better performed before RTNL. SIOCBRADDIF and SIOCBRDELIF have been processed in dev_ioctl() since the pre-git era, and there seems to be no specific reason to process them there. [0]: unregister_netdevice: waiting for wpan3 to become free. Usage count = 2 ref_tracker: wpan3@ffff8880662d8608 has 1/1 users at __netdev_tracker_alloc include/linux/netdevice.h:4282 [inline] netdev_hold include/linux/netdevice.h:4311 [inline] dev_ifsioc+0xc6a/0x1160 net/core/dev_ioctl.c:624 dev_ioctl+0x255/0x10c0 net/core/dev_ioctl.c:826 sock_do_ioctl+0x1ca/0x260 net/socket.c:1213 sock_ioctl+0x23a/0x6c0 net/socket.c:1318 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x1a4/0x210 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcb/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонентов net ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix out-of-bound read in ext4_xattr_inode_dec_ref_all() There's issue as follows: BUG: KASAN: use-after-free in ext4_xattr_inode_dec_ref_all+0x6ff/0x790 Read of size 4 at addr ffff88807b003000 by task syz-executor.0/15172 CPU: 3 PID: 15172 Comm: syz-executor.0 Call Trace: __dump_stack lib/dump_stack.c:82 [inline] dump_stack+0xbe/0xfd lib/dump_stack.c:123 print_address_description.constprop.0+0x1e/0x280 mm/kasan/report.c:400 __kasan_report.cold+0x6c/0x84 mm/kasan/report.c:560 kasan_report+0x3a/0x50 mm/kasan/report.c:585 ext4_xattr_inode_dec_ref_all+0x6ff/0x790 fs/ext4/xattr.c:1137 ext4_xattr_delete_inode+0x4c7/0xda0 fs/ext4/xattr.c:2896 ext4_evict_inode+0xb3b/0x1670 fs/ext4/inode.c:323 evict+0x39f/0x880 fs/inode.c:622 iput_final fs/inode.c:1746 [inline] iput fs/inode.c:1772 [inline] iput+0x525/0x6c0 fs/inode.c:1758 ext4_orphan_cleanup fs/ext4/super.c:3298 [inline] ext4_fill_super+0x8c57/0xba40 fs/ext4/super.c:5300 mount_bdev+0x355/0x410 fs/super.c:1446 legacy_get_tree+0xfe/0x220 fs/fs_context.c:611 vfs_get_tree+0x8d/0x2f0 fs/super.c:1576 do_new_mount fs/namespace.c:2983 [inline] path_mount+0x119a/0x1ad0 fs/namespace.c:3316 do_mount+0xfc/0x110 fs/namespace.c:3329 __do_sys_mount fs/namespace.c:3540 [inline] __se_sys_mount+0x219/0x2e0 fs/namespace.c:3514 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 Memory state around the buggy address: ffff88807b002f00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ffff88807b002f80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 >ffff88807b003000: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ^ ffff88807b003080: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ffff88807b003100: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff Above issue happens as ext4_xattr_delete_inode() isn't check xattr is valid if xattr is in inode. To solve above issue call xattr_check_inode() check if xattr if valid in inode. In fact, we can directly verify in ext4_iget_extra_inode(), so that there is no divergent verification. Уязвимость компонента ext4/inode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: Fix accessing freed irq affinity_hint In stmmac_request_irq_multi_msi(), a pointer to the stack variable cpu_mask is passed to irq_set_affinity_hint(). This value is stored in irq_desc->affinity_hint, but once stmmac_request_irq_multi_msi() returns, the pointer becomes dangling. The affinity_hint is exposed via procfs with S_IRUGO permissions, allowing any unprivileged process to read it. Accessing this stale pointer can lead to: - a kernel oops or panic if the referenced memory has been released and unmapped, or - leakage of kernel data into userspace if the memory is re-used for other purposes. All platforms that use stmmac with PCI MSI (Intel, Loongson, etc) are affected. Уязвимость функции stmmac_request_irq_multi_msi() в модуле drivers/net/ethernet/stmicro/stmmac/stmmac_main.c драйвера сетевых адаптеров Ethernet STMicroelectronics ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: free routing table on probe failure If complete = true in dsa_tree_setup(), it means that we are the last switch of the tree which is successfully probing, and we should be setting up all switches from our probe path. After "complete" becomes true, dsa_tree_setup_cpu_ports() or any subsequent function may fail. If that happens, the entire tree setup is in limbo: the first N-1 switches have successfully finished probing (doing nothing but having allocated persistent memory in the tree's dst->ports, and maybe dst->rtable), and switch N failed to probe, ending the tree setup process before anything is tangible from the user's PoV. If switch N fails to probe, its memory (ports) will be freed and removed from dst->ports. However, the dst->rtable elements pointing to its ports, as created by dsa_link_touch(), will remain there, and will lead to use-after-free if dereferenced. If dsa_tree_setup_switches() returns -EPROBE_DEFER, which is entirely possible because that is where ds->ops->setup() is, we get a kasan report like this: ================================================================== BUG: KASAN: slab-use-after-free in mv88e6xxx_setup_upstream_port+0x240/0x568 Read of size 8 at addr ffff000004f56020 by task kworker/u8:3/42 Call trace: __asan_report_load8_noabort+0x20/0x30 mv88e6xxx_setup_upstream_port+0x240/0x568 mv88e6xxx_setup+0xebc/0x1eb0 dsa_register_switch+0x1af4/0x2ae0 mv88e6xxx_register_switch+0x1b8/0x2a8 mv88e6xxx_probe+0xc4c/0xf60 mdio_probe+0x78/0xb8 really_probe+0x2b8/0x5a8 __driver_probe_device+0x164/0x298 driver_probe_device+0x78/0x258 __device_attach_driver+0x274/0x350 Allocated by task 42: __kasan_kmalloc+0x84/0xa0 __kmalloc_cache_noprof+0x298/0x490 dsa_switch_touch_ports+0x174/0x3d8 dsa_register_switch+0x800/0x2ae0 mv88e6xxx_register_switch+0x1b8/0x2a8 mv88e6xxx_probe+0xc4c/0xf60 mdio_probe+0x78/0xb8 really_probe+0x2b8/0x5a8 __driver_probe_device+0x164/0x298 driver_probe_device+0x78/0x258 __device_attach_driver+0x274/0x350 Freed by task 42: __kasan_slab_free+0x48/0x68 kfree+0x138/0x418 dsa_register_switch+0x2694/0x2ae0 mv88e6xxx_register_switch+0x1b8/0x2a8 mv88e6xxx_probe+0xc4c/0xf60 mdio_probe+0x78/0xb8 really_probe+0x2b8/0x5a8 __driver_probe_device+0x164/0x298 driver_probe_device+0x78/0x258 __device_attach_driver+0x274/0x350 The simplest way to fix the bug is to delete the routing table in its entirety. dsa_tree_setup_routing_table() has no problem in regenerating it even if we deleted links between ports other than those of switch N, because dsa_link_touch() first checks whether the port pair already exists in dst->rtable, allocating if not. The deletion of the routing table in its entirety already exists in dsa_tree_teardown(), so refactor that into a function that can also be called from the tree setup error path. In my analysis of the commit to blame, it is the one which added dsa_link elements to dst->rtable. Prior to that, each switch had its own ds->rtable which is freed when the switch fails to probe. But the tree is potentially persistent memory. Уязвимость компонента net/dsa/dsa.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xsk: Fix race condition in AF_XDP generic RX path Move rx_lock from xsk_socket to xsk_buff_pool. Fix synchronization for shared umem mode in generic RX path where multiple sockets share single xsk_buff_pool. RX queue is exclusive to xsk_socket, while FILL queue can be shared between multiple sockets. This could result in race condition where two CPU cores access RX path of two different sockets sharing the same umem. Protect both queues by acquiring spinlock in shared xsk_buff_pool. Lock contention may be minimized in the future by some per-thread FQ buffering. It's safe and necessary to move spin_lock_bh(rx_lock) after xsk_rcv_check(): * xs->pool and spinlock_init is synchronized by xsk_bind() -> xsk_is_bound() memory barriers. * xsk_rcv_check() may return true at the moment of xsk_release() or xsk_unbind_dev(), however this will not cause any data races or race conditions. xsk_unbind_dev() removes xdp socket from all maps and waits for completion of all outstanding rx operations. Packets in RX path will either complete safely or drop. Уязвимость функции xsk_generic_rcv() модуля net/xdp/xsk.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_session_rpc_open A UAF issue can occur due to a race condition between ksmbd_session_rpc_open() and __session_rpc_close(). Add rpc_lock to the session to protect it. Уязвимость функции ksmbd_session_rpc_open() в модуле fs/smb/server/mgmt/user_session.c поддержки сервера SMB ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: lsmod | grep ksmbd или kmod list | grep ksmbd Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля ksmbd.ko: sudo rmmod ksmbd 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install ksmbd /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Fix "KASAN: slab-use-after-free Read in ib_register_device" problem Call Trace: __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 strlen+0x93/0xa0 lib/string.c:420 __fortify_strlen include/linux/fortify-string.h:268 [inline] get_kobj_path_length lib/kobject.c:118 [inline] kobject_get_path+0x3f/0x2a0 lib/kobject.c:158 kobject_uevent_env+0x289/0x1870 lib/kobject_uevent.c:545 ib_register_device drivers/infiniband/core/device.c:1472 [inline] ib_register_device+0x8cf/0xe00 drivers/infiniband/core/device.c:1393 rxe_register_device+0x275/0x320 drivers/infiniband/sw/rxe/rxe_verbs.c:1552 rxe_net_add+0x8e/0xe0 drivers/infiniband/sw/rxe/rxe_net.c:550 rxe_newlink+0x70/0x190 drivers/infiniband/sw/rxe/rxe.c:225 nldev_newlink+0x3a3/0x680 drivers/infiniband/core/nldev.c:1796 rdma_nl_rcv_msg+0x387/0x6e0 drivers/infiniband/core/netlink.c:195 rdma_nl_rcv_skb.constprop.0.isra.0+0x2e5/0x450 netlink_unicast_kernel net/netlink/af_netlink.c:1313 [inline] netlink_unicast+0x53a/0x7f0 net/netlink/af_netlink.c:1339 netlink_sendmsg+0x8d1/0xdd0 net/netlink/af_netlink.c:1883 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg net/socket.c:727 [inline] ____sys_sendmsg+0xa95/0xc70 net/socket.c:2566 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2620 __sys_sendmsg+0x16d/0x220 net/socket.c:2652 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x260 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f This problem is similar to the problem that the commit 1d6a9e7449e2 ("RDMA/core: Fix use-after-free when rename device name") fixes. The root cause is: the function ib_device_rename() renames the name with lock. But in the function kobject_uevent(), this name is accessed without lock protection at the same time. The solution is to add the lock protection when this name is accessed in the function kobject_uevent(). Уязвимость функции ib_device_rename ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: espintcp: fix skb leaks A few error paths are missing a kfree_skb. Уязвимость функций esp_output_tcp_finish() (net/ipv4/esp4.c) и esp_output_tcp_finish() (net/ipv6/esp6.c) ядра операционной системы Linux связана с неправильным освобождением памяти («утечка памяти»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Replace Mutex with Spinlock for RLCG register access to avoid Priority Inversion in SRIOV RLCG Register Access is a way for virtual functions to safely access GPU registers in a virtualized environment., including TLB flushes and register reads. When multiple threads or VFs try to access the same registers simultaneously, it can lead to race conditions. By using the RLCG interface, the driver can serialize access to the registers. This means that only one thread can access the registers at a time, preventing conflicts and ensuring that operations are performed correctly. Additionally, when a low-priority task holds a mutex that a high-priority task needs, ie., If a thread holding a spinlock tries to acquire a mutex, it can lead to priority inversion. register access in amdgpu_virt_rlcg_reg_rw especially in a fast code path is critical. The call stack shows that the function amdgpu_virt_rlcg_reg_rw is being called, which attempts to acquire the mutex. This function is invoked from amdgpu_sriov_wreg, which in turn is called from gmc_v11_0_flush_gpu_tlb. The [ BUG: Invalid wait context ] indicates that a thread is trying to acquire a mutex while it is in a context that does not allow it to sleep (like holding a spinlock). Fixes the below: [ 253.013423] ============================= [ 253.013434] [ BUG: Invalid wait context ] [ 253.013446] 6.12.0-amdstaging-drm-next-lol-050225 #14 Tainted: G U OE [ 253.013464] ----------------------------- [ 253.013475] kworker/0:1/10 is trying to lock: [ 253.013487] ffff9f30542e3cf8 (&adev->virt.rlcg_reg_lock){+.+.}-{3:3}, at: amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.013815] other info that might help us debug this: [ 253.013827] context-{4:4} [ 253.013835] 3 locks held by kworker/0:1/10: [ 253.013847] #0: ffff9f3040050f58 ((wq_completion)events){+.+.}-{0:0}, at: process_one_work+0x3f5/0x680 [ 253.013877] #1: ffffb789c008be40 ((work_completion)(&wfc.work)){+.+.}-{0:0}, at: process_one_work+0x1d6/0x680 [ 253.013905] #2: ffff9f3054281838 (&adev->gmc.invalidate_lock){+.+.}-{2:2}, at: gmc_v11_0_flush_gpu_tlb+0x198/0x4f0 [amdgpu] [ 253.014154] stack backtrace: [ 253.014164] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Tainted: G U OE 6.12.0-amdstaging-drm-next-lol-050225 #14 [ 253.014189] Tainted: [U]=USER, [O]=OOT_MODULE, [E]=UNSIGNED_MODULE [ 253.014203] Hardware name: Microsoft Corporation Virtual Machine/Virtual Machine, BIOS Hyper-V UEFI Release v4.1 11/18/2024 [ 253.014224] Workqueue: events work_for_cpu_fn [ 253.014241] Call Trace: [ 253.014250] <TASK> [ 253.014260] dump_stack_lvl+0x9b/0xf0 [ 253.014275] dump_stack+0x10/0x20 [ 253.014287] __lock_acquire+0xa47/0x2810 [ 253.014303] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.014321] lock_acquire+0xd1/0x300 [ 253.014333] ? amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.014562] ? __lock_acquire+0xa6b/0x2810 [ 253.014578] __mutex_lock+0x85/0xe20 [ 253.014591] ? amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.014782] ? sched_clock_noinstr+0x9/0x10 [ 253.014795] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.014808] ? local_clock_noinstr+0xe/0xc0 [ 253.014822] ? amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.015012] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.015029] mutex_lock_nested+0x1b/0x30 [ 253.015044] ? mutex_lock_nested+0x1b/0x30 [ 253.015057] amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.015249] amdgpu_sriov_wreg+0xc5/0xd0 [amdgpu] [ 253.015435] gmc_v11_0_flush_gpu_tlb+0x44b/0x4f0 [amdgpu] [ 253.015667] gfx_v11_0_hw_init+0x499/0x29c0 [amdgpu] [ 253.015901] ? __pfx_smu_v13_0_update_pcie_parameters+0x10/0x10 [amdgpu] [ 253.016159] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.016173] ? smu_hw_init+0x18d/0x300 [amdgpu] [ 253.016403] amdgpu_device_init+0x29ad/0x36a0 [amdgpu] [ 253.016614] amdgpu_driver_load_kms+0x1a/0xc0 [amdgpu] [ 253.0170 ---truncated--- Уязвимость функции amdgpu_virt_rlcg_reg_rw() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_virt.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: make sure that ptp_rate is not 0 before configuring EST If the ptp_rate recorded earlier in the driver happens to be 0, this bogus value will propagate up to EST configuration, where it will trigger a division by 0. Prevent this division by 0 by adding the corresponding check and error code. Уязвимость функции ptp_rate() ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: page_pool: Fix use-after-free in page_pool_recycle_in_ring syzbot reported a uaf in page_pool_recycle_in_ring: BUG: KASAN: slab-use-after-free in lock_release+0x151/0xa30 kernel/locking/lockdep.c:5862 Read of size 8 at addr ffff8880286045a0 by task syz.0.284/6943 CPU: 0 UID: 0 PID: 6943 Comm: syz.0.284 Not tainted 6.13.0-rc3-syzkaller-gdfa94ce54f41 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 lock_release+0x151/0xa30 kernel/locking/lockdep.c:5862 __raw_spin_unlock_bh include/linux/spinlock_api_smp.h:165 [inline] _raw_spin_unlock_bh+0x1b/0x40 kernel/locking/spinlock.c:210 spin_unlock_bh include/linux/spinlock.h:396 [inline] ptr_ring_produce_bh include/linux/ptr_ring.h:164 [inline] page_pool_recycle_in_ring net/core/page_pool.c:707 [inline] page_pool_put_unrefed_netmem+0x748/0xb00 net/core/page_pool.c:826 page_pool_put_netmem include/net/page_pool/helpers.h:323 [inline] page_pool_put_full_netmem include/net/page_pool/helpers.h:353 [inline] napi_pp_put_page+0x149/0x2b0 net/core/skbuff.c:1036 skb_pp_recycle net/core/skbuff.c:1047 [inline] skb_free_head net/core/skbuff.c:1094 [inline] skb_release_data+0x6c4/0x8a0 net/core/skbuff.c:1125 skb_release_all net/core/skbuff.c:1190 [inline] __kfree_skb net/core/skbuff.c:1204 [inline] sk_skb_reason_drop+0x1c9/0x380 net/core/skbuff.c:1242 kfree_skb_reason include/linux/skbuff.h:1263 [inline] __skb_queue_purge_reason include/linux/skbuff.h:3343 [inline] root cause is: page_pool_recycle_in_ring ptr_ring_produce spin_lock(&r->producer_lock); WRITE_ONCE(r->queue[r->producer++], ptr) //recycle last page to pool page_pool_release page_pool_scrub page_pool_empty_ring ptr_ring_consume page_pool_return_page //release all page __page_pool_destroy free_percpu(pool->recycle_stats); free(pool) //free spin_unlock(&r->producer_lock); //pool->ring uaf read recycle_stat_inc(pool, ring); page_pool can be free while page pool recycle the last page in ring. Add producer-lock barrier to page_pool_release to prevent the page pool from being free before all pages have been recycled. recycle_stat_inc() is empty when CONFIG_PAGE_POOL_STATS is not enabled, which will trigger Wempty-body build warning. Add definition for pool stat macro to fix warning. Уязвимость функции page_pool_recycle_in_ring() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: clamp maximum map bucket size to INT_MAX Otherwise, it is possible to hit WARN_ON_ONCE in __kvmalloc_node_noprof() when resizing hashtable because __GFP_NOWARN is unset. Similar to: b541ba7d1f5a ("netfilter: conntrack: clamp maximum hashtable size to INT_MAX") Уязвимость функции __kvmalloc_node_noprof ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: fix race between nfsd registration and exports_proc As of now nfsd calls create_proc_exports_entry() at start of init_nfsd and cleanup by remove_proc_entry() at last of exit_nfsd. Which causes kernel OOPs if there is race between below 2 operations: (i) exportfs -r (ii) mount -t nfsd none /proc/fs/nfsd for 5.4 kernel ARM64: CPU 1: el1_irq+0xbc/0x180 arch_counter_get_cntvct+0x14/0x18 running_clock+0xc/0x18 preempt_count_add+0x88/0x110 prep_new_page+0xb0/0x220 get_page_from_freelist+0x2d8/0x1778 __alloc_pages_nodemask+0x15c/0xef0 __vmalloc_node_range+0x28c/0x478 __vmalloc_node_flags_caller+0x8c/0xb0 kvmalloc_node+0x88/0xe0 nfsd_init_net+0x6c/0x108 [nfsd] ops_init+0x44/0x170 register_pernet_operations+0x114/0x270 register_pernet_subsys+0x34/0x50 init_nfsd+0xa8/0x718 [nfsd] do_one_initcall+0x54/0x2e0 CPU 2 : Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 PC is at : exports_net_open+0x50/0x68 [nfsd] Call trace: exports_net_open+0x50/0x68 [nfsd] exports_proc_open+0x2c/0x38 [nfsd] proc_reg_open+0xb8/0x198 do_dentry_open+0x1c4/0x418 vfs_open+0x38/0x48 path_openat+0x28c/0xf18 do_filp_open+0x70/0xe8 do_sys_open+0x154/0x248 Sometimes it crashes at exports_net_open() and sometimes cache_seq_next_rcu(). and same is happening on latest 6.14 kernel as well: [ 0.000000] Linux version 6.14.0-rc5-next-20250304-dirty ... [ 285.455918] Unable to handle kernel paging request at virtual address 00001f4800001f48 ... [ 285.464902] pc : cache_seq_next_rcu+0x78/0xa4 ... [ 285.469695] Call trace: [ 285.470083] cache_seq_next_rcu+0x78/0xa4 (P) [ 285.470488] seq_read+0xe0/0x11c [ 285.470675] proc_reg_read+0x9c/0xf0 [ 285.470874] vfs_read+0xc4/0x2fc [ 285.471057] ksys_read+0x6c/0xf4 [ 285.471231] __arm64_sys_read+0x1c/0x28 [ 285.471428] invoke_syscall+0x44/0x100 [ 285.471633] el0_svc_common.constprop.0+0x40/0xe0 [ 285.471870] do_el0_svc_compat+0x1c/0x34 [ 285.472073] el0_svc_compat+0x2c/0x80 [ 285.472265] el0t_32_sync_handler+0x90/0x140 [ 285.472473] el0t_32_sync+0x19c/0x1a0 [ 285.472887] Code: f9400885 93407c23 937d7c27 11000421 (f86378a3) [ 285.473422] ---[ end trace 0000000000000000 ]--- It reproduced simply with below script: while [ 1 ] do /exportfs -r done & while [ 1 ] do insmod /nfsd.ko mount -t nfsd none /proc/fs/nfsd umount /proc/fs/nfsd rmmod nfsd done & So exporting interfaces to user space shall be done at last and cleanup at first place. With change there is no Kernel OOPs. Уязвимость функции init_nfsd() в модуле fs/nfsd/nfsctl.c поддержки сетевой файловой системы NFS ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bridge: mcast: Fix use-after-free during router port configuration The bridge maintains a global list of ports behind which a multicast router resides. The list is consulted during forwarding to ensure multicast packets are forwarded to these ports even if the ports are not member in the matching MDB entry. When per-VLAN multicast snooping is enabled, the per-port multicast context is disabled on each port and the port is removed from the global router port list: # ip link add name br1 up type bridge vlan_filtering 1 mcast_snooping 1 # ip link add name dummy1 up master br1 type dummy # ip link set dev dummy1 type bridge_slave mcast_router 2 $ bridge -d mdb show | grep router router ports on br1: dummy1 # ip link set dev br1 type bridge mcast_vlan_snooping 1 $ bridge -d mdb show | grep router However, the port can be re-added to the global list even when per-VLAN multicast snooping is enabled: # ip link set dev dummy1 type bridge_slave mcast_router 0 # ip link set dev dummy1 type bridge_slave mcast_router 2 $ bridge -d mdb show | grep router router ports on br1: dummy1 Since commit 4b30ae9adb04 ("net: bridge: mcast: re-implement br_multicast_{enable, disable}_port functions"), when per-VLAN multicast snooping is enabled, multicast disablement on a port will disable the per-{port, VLAN} multicast contexts and not the per-port one. As a result, a port will remain in the global router port list even after it is deleted. This will lead to a use-after-free [1] when the list is traversed (when adding a new port to the list, for example): # ip link del dev dummy1 # ip link add name dummy2 up master br1 type dummy # ip link set dev dummy2 type bridge_slave mcast_router 2 Similarly, stale entries can also be found in the per-VLAN router port list. When per-VLAN multicast snooping is disabled, the per-{port, VLAN} contexts are disabled on each port and the port is removed from the per-VLAN router port list: # ip link add name br1 up type bridge vlan_filtering 1 mcast_snooping 1 mcast_vlan_snooping 1 # ip link add name dummy1 up master br1 type dummy # bridge vlan add vid 2 dev dummy1 # bridge vlan global set vid 2 dev br1 mcast_snooping 1 # bridge vlan set vid 2 dev dummy1 mcast_router 2 $ bridge vlan global show dev br1 vid 2 | grep router router ports: dummy1 # ip link set dev br1 type bridge mcast_vlan_snooping 0 $ bridge vlan global show dev br1 vid 2 | grep router However, the port can be re-added to the per-VLAN list even when per-VLAN multicast snooping is disabled: # bridge vlan set vid 2 dev dummy1 mcast_router 0 # bridge vlan set vid 2 dev dummy1 mcast_router 2 $ bridge vlan global show dev br1 vid 2 | grep router router ports: dummy1 When the VLAN is deleted from the port, the per-{port, VLAN} multicast context will not be disabled since multicast snooping is not enabled on the VLAN. As a result, the port will remain in the per-VLAN router port list even after it is no longer member in the VLAN. This will lead to a use-after-free [2] when the list is traversed (when adding a new port to the list, for example): # ip link add name dummy2 up master br1 type dummy # bridge vlan add vid 2 dev dummy2 # bridge vlan del vid 2 dev dummy1 # bridge vlan set vid 2 dev dummy2 mcast_router 2 Fix these issues by removing the port from the relevant (global or per-VLAN) router port list in br_multicast_port_ctx_deinit(). The function is invoked during port deletion with the per-port multicast context and during VLAN deletion with the per-{port, VLAN} multicast context. Note that deleting the multicast router timer is not enough as it only takes care of the temporary multicast router states (1 or 3) and not the permanent one (2). [1] BUG: KASAN: slab-out-of-bounds in br_multicast_add_router.part.0+0x3f1/0x560 Write of size 8 at addr ffff888004a67328 by task ip/384 [...] Call Trace: <TASK> dump_stack ---truncated--- Уязвимость функции br_multicast_port_ctx_init() в модуле net/bridge/br_multicast.c реализации сетевых функций ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bridge.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bridge в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bridge ``` или ``` kmod list | grep bridge ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bridge ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bridge /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check dce_hwseq before dereferencing it [WHAT] hws was checked for null earlier in dce110_blank_stream, indicating hws can be null, and should be checked whenever it is used. (cherry picked from commit 79db43611ff61280b6de58ce1305e0b2ecf675ad) Уязвимость модуля drivers/gpu/drm/amd/display/dc/hwss/dce110/dce110_hwseq.c ядра операционной системы Linux связана с возможностью обращения к нулевому указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Если графический стек amdgpu не используется для вычислений или вывода интерфейса, для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля amdgpu.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль amdgpu в ядро системы, для этого выполнить одну из команд: lsmod | grep amdgpu или kmod list | grep amdgpu Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля amdgpu.ko: sudo rmmod amdgpu 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-amdgpu.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install amdgpu /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: genirq/irq_sim: Initialize work context pointers properly Initialize `ops` member's pointers properly by using kzalloc() instead of kmalloc() when allocating the simulation work context. Otherwise the pointers contain random content leading to invalid dereferencing. Уязвимость функции kzalloc() компонента irq_sim ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: Harden s32ton() against conversion to 0 bits Testing by the syzbot fuzzer showed that the HID core gets a shift-out-of-bounds exception when it tries to convert a 32-bit quantity to a 0-bit quantity. Ideally this should never occur, but there are buggy devices and some might have a report field with size set to zero; we shouldn't reject the report or the device just because of that. Instead, harden the s32ton() routine so that it returns a reasonable result instead of crashing when it is called with the number of bits set to 0 -- the same as what snto32() does. Уязвимость функции s32ton() ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Reject narrower access to pointer ctx fields The following BPF program, simplified from a syzkaller repro, causes a kernel warning: r0 = *(u8 *)(r1 + 169); exit; With pointer field sk being at offset 168 in __sk_buff. This access is detected as a narrower read in bpf_skb_is_valid_access because it doesn't match offsetof(struct __sk_buff, sk). It is therefore allowed and later proceeds to bpf_convert_ctx_access. Note that for the "is_narrower_load" case in the convert_ctx_accesses(), the insn->off is aligned, so the cnt may not be 0 because it matches the offsetof(struct __sk_buff, sk) in the bpf_convert_ctx_access. However, the target_size stays 0 and the verifier errors with a kernel warning: verifier bug: error during ctx access conversion(1) This patch fixes that to return a proper "invalid bpf_context access off=X size=Y" error on the load instruction. The same issue affects multiple other fields in context structures that allow narrow access. Some other non-affected fields (for sk_msg, sk_lookup, and sockopt) were also changed to use bpf_ctx_range_ptr for consistency. Note this syzkaller crash was reported in the "Closes" link below, which used to be about a different bug, fixed in commit fce7bd8e385a ("bpf/verifier: Handle BPF_LOAD_ACQ instructions in insn_def_regno()"). Because syzbot somehow confused the two bugs, the new crash and repro didn't get reported to the mailing list. Уязвимость функции bpf_skb_is_valid_access() в модуле net/core/filter.c поддержки интерпретатора BPF ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sync: fix double free in 'hci_discovery_filter_clear()' Function 'hci_discovery_filter_clear()' frees 'uuids' array and then sets it to NULL. There is a tiny chance of the following race: 'hci_cmd_sync_work()' 'update_passive_scan_sync()' 'hci_update_passive_scan_sync()' 'hci_discovery_filter_clear()' kfree(uuids); <-------------------------preempted--------------------------------> 'start_service_discovery()' 'hci_discovery_filter_clear()' kfree(uuids); // DOUBLE FREE <-------------------------preempted--------------------------------> uuids = NULL; To fix it let's add locking around 'kfree()' call and NULL pointer assignment. Otherwise the following backtrace fires: [ ] ------------[ cut here ]------------ [ ] kernel BUG at mm/slub.c:547! [ ] Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [ ] CPU: 3 UID: 0 PID: 246 Comm: bluetoothd Tainted: G O 6.12.19-kernel #1 [ ] Tainted: [O]=OOT_MODULE [ ] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ ] pc : __slab_free+0xf8/0x348 [ ] lr : __slab_free+0x48/0x348 ... [ ] Call trace: [ ] __slab_free+0xf8/0x348 [ ] kfree+0x164/0x27c [ ] start_service_discovery+0x1d0/0x2c0 [ ] hci_sock_sendmsg+0x518/0x924 [ ] __sock_sendmsg+0x54/0x60 [ ] sock_write_iter+0x98/0xf8 [ ] do_iter_readv_writev+0xe4/0x1c8 [ ] vfs_writev+0x128/0x2b0 [ ] do_writev+0xfc/0x118 [ ] __arm64_sys_writev+0x20/0x2c [ ] invoke_syscall+0x68/0xf0 [ ] el0_svc_common.constprop.0+0x40/0xe0 [ ] do_el0_svc+0x1c/0x28 [ ] el0_svc+0x30/0xd0 [ ] el0t_64_sync_handler+0x100/0x12c [ ] el0t_64_sync+0x194/0x198 [ ] Code: 8b0002e6 eb17031f 54fffbe1 d503201f (d4210000) [ ] ---[ end trace 0000000000000000 ]--- Уязвимость функции discovery_init() в модуле include/net/bluetooth/hci_core.h ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: Add missing lock in cfg80211_check_and_end_cac() Callers of wdev_chandef() must hold the wiphy mutex. But the worker cfg80211_propagate_cac_done_wk() never takes the lock. Which triggers the warning below with the mesh_peer_connected_dfs test from hostapd and not (yet) released mac80211 code changes: WARNING: CPU: 0 PID: 495 at net/wireless/chan.c:1552 wdev_chandef+0x60/0x165 Modules linked in: CPU: 0 UID: 0 PID: 495 Comm: kworker/u4:2 Not tainted 6.14.0-rc5-wt-g03960e6f9d47 #33 13c287eeabfe1efea01c0bcc863723ab082e17cf Workqueue: cfg80211 cfg80211_propagate_cac_done_wk Stack: 00000000 00000001 ffffff00 6093267c 00000000 6002ec30 6d577c50 60037608 00000000 67e8d108 6063717b 00000000 Call Trace: [<6002ec30>] ? _printk+0x0/0x98 [<6003c2b3>] show_stack+0x10e/0x11a [<6002ec30>] ? _printk+0x0/0x98 [<60037608>] dump_stack_lvl+0x71/0xb8 [<6063717b>] ? wdev_chandef+0x60/0x165 [<6003766d>] dump_stack+0x1e/0x20 [<6005d1b7>] __warn+0x101/0x20f [<6005d3a8>] warn_slowpath_fmt+0xe3/0x15d [<600b0c5c>] ? mark_lock.part.0+0x0/0x4ec [<60751191>] ? __this_cpu_preempt_check+0x0/0x16 [<600b11a2>] ? mark_held_locks+0x5a/0x6e [<6005d2c5>] ? warn_slowpath_fmt+0x0/0x15d [<60052e53>] ? unblock_signals+0x3a/0xe7 [<60052f2d>] ? um_set_signals+0x2d/0x43 [<60751191>] ? __this_cpu_preempt_check+0x0/0x16 [<607508b2>] ? lock_is_held_type+0x207/0x21f [<6063717b>] wdev_chandef+0x60/0x165 [<605f89b4>] regulatory_propagate_dfs_state+0x247/0x43f [<60052f00>] ? um_set_signals+0x0/0x43 [<605e6bfd>] cfg80211_propagate_cac_done_wk+0x3a/0x4a [<6007e460>] process_scheduled_works+0x3bc/0x60e [<6007d0ec>] ? move_linked_works+0x4d/0x81 [<6007d120>] ? assign_work+0x0/0xaa [<6007f81f>] worker_thread+0x220/0x2dc [<600786ef>] ? set_pf_worker+0x0/0x57 [<60087c96>] ? to_kthread+0x0/0x43 [<6008ab3c>] kthread+0x2d3/0x2e2 [<6007f5ff>] ? worker_thread+0x0/0x2dc [<6006c05b>] ? calculate_sigpending+0x0/0x56 [<6003b37d>] new_thread_handler+0x4a/0x64 irq event stamp: 614611 hardirqs last enabled at (614621): [<00000000600bc96b>] __up_console_sem+0x82/0xaf hardirqs last disabled at (614630): [<00000000600bc92c>] __up_console_sem+0x43/0xaf softirqs last enabled at (614268): [<00000000606c55c6>] __ieee80211_wake_queue+0x933/0x985 softirqs last disabled at (614266): [<00000000606c52d6>] __ieee80211_wake_queue+0x643/0x985 Уязвимость функции cfg80211_check_and_end_cac() модуля net/wireless/reg.c поддержки беспроводной связи ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: linearize cloned gso packets in sctp_rcv A cloned head skb still shares these frag skbs in fraglist with the original head skb. It's not safe to access these frag skbs. syzbot reported two use-of-uninitialized-memory bugs caused by this: BUG: KMSAN: uninit-value in sctp_inq_pop+0x15b7/0x1920 net/sctp/inqueue.c:211 sctp_inq_pop+0x15b7/0x1920 net/sctp/inqueue.c:211 sctp_assoc_bh_rcv+0x1a7/0xc50 net/sctp/associola.c:998 sctp_inq_push+0x2ef/0x380 net/sctp/inqueue.c:88 sctp_backlog_rcv+0x397/0xdb0 net/sctp/input.c:331 sk_backlog_rcv+0x13b/0x420 include/net/sock.h:1122 __release_sock+0x1da/0x330 net/core/sock.c:3106 release_sock+0x6b/0x250 net/core/sock.c:3660 sctp_wait_for_connect+0x487/0x820 net/sctp/socket.c:9360 sctp_sendmsg_to_asoc+0x1ec1/0x1f00 net/sctp/socket.c:1885 sctp_sendmsg+0x32b9/0x4a80 net/sctp/socket.c:2031 inet_sendmsg+0x25a/0x280 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:718 [inline] and BUG: KMSAN: uninit-value in sctp_assoc_bh_rcv+0x34e/0xbc0 net/sctp/associola.c:987 sctp_assoc_bh_rcv+0x34e/0xbc0 net/sctp/associola.c:987 sctp_inq_push+0x2a3/0x350 net/sctp/inqueue.c:88 sctp_backlog_rcv+0x3c7/0xda0 net/sctp/input.c:331 sk_backlog_rcv+0x142/0x420 include/net/sock.h:1148 __release_sock+0x1d3/0x330 net/core/sock.c:3213 release_sock+0x6b/0x270 net/core/sock.c:3767 sctp_wait_for_connect+0x458/0x820 net/sctp/socket.c:9367 sctp_sendmsg_to_asoc+0x223a/0x2260 net/sctp/socket.c:1886 sctp_sendmsg+0x3910/0x49f0 net/sctp/socket.c:2032 inet_sendmsg+0x269/0x2a0 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] This patch fixes it by linearizing cloned gso packets in sctp_rcv(). Уязвимость функции sctp_rcv() модуля net/sctp/input.c ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sctp в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sctp ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sctp /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: qat - flush misc workqueue during device shutdown Repeated loading and unloading of a device specific QAT driver, for example qat_4xxx, in a tight loop can lead to a crash due to a use-after-free scenario. This occurs when a power management (PM) interrupt triggers just before the device-specific driver (e.g., qat_4xxx.ko) is unloaded, while the core driver (intel_qat.ko) remains loaded. Since the driver uses a shared workqueue (`qat_misc_wq`) across all devices and owned by intel_qat.ko, a deferred routine from the device-specific driver may still be pending in the queue. If this routine executes after the driver is unloaded, it can dereference freed memory, resulting in a page fault and kernel crash like the following: BUG: unable to handle page fault for address: ffa000002e50a01c #PF: supervisor read access in kernel mode RIP: 0010:pm_bh_handler+0x1d2/0x250 [intel_qat] Call Trace: pm_bh_handler+0x1d2/0x250 [intel_qat] process_one_work+0x171/0x340 worker_thread+0x277/0x3a0 kthread+0xf0/0x120 ret_from_fork+0x2d/0x50 To prevent this, flush the misc workqueue during device shutdown to ensure that all pending work items are completed before the driver is unloaded. Note: This approach may slightly increase shutdown latency if the workqueue contains jobs from other devices, but it ensures correctness and stability. Уязвимость функции adf_dev_shutdown() модуля drivers/crypto/intel/qat/qat_common/adf_init.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: APEI: send SIGBUS to current task if synchronous memory error not recovered If a synchronous error is detected as a result of user-space process triggering a 2-bit uncorrected error, the CPU will take a synchronous error exception such as Synchronous External Abort (SEA) on Arm64. The kernel will queue a memory_failure() work which poisons the related page, unmaps the page, and then sends a SIGBUS to the process, so that a system wide panic can be avoided. However, no memory_failure() work will be queued when abnormal synchronous errors occur. These errors can include situations like invalid PA, unexpected severity, no memory failure config support, invalid GUID section, etc. In such a case, the user-space process will trigger SEA again. This loop can potentially exceed the platform firmware threshold or even trigger a kernel hard lockup, leading to a system reboot. Fix it by performing a force kill if no memory_failure() work is queued for synchronous errors. [ rjw: Changelog edits ] Уязвимость функции ghes_do_proc() модуля drivers/acpi/apei/ghes.c драйвера ACPI (расширенный интерфейс конфигурации и питания) ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: macb: fix unregister_netdev call order in macb_remove() When removing a macb device, the driver calls phy_exit() before unregister_netdev(). This leads to a WARN from kernfs: ------------[ cut here ]------------ kernfs: can not remove 'attached_dev', no directory WARNING: CPU: 1 PID: 27146 at fs/kernfs/dir.c:1683 Call trace: kernfs_remove_by_name_ns+0xd8/0xf0 sysfs_remove_link+0x24/0x58 phy_detach+0x5c/0x168 phy_disconnect+0x4c/0x70 phylink_disconnect_phy+0x6c/0xc0 [phylink] macb_close+0x6c/0x170 [macb] ... macb_remove+0x60/0x168 [macb] platform_remove+0x5c/0x80 ... The warning happens because the PHY is being exited while the netdev is still registered. The correct order is to unregister the netdev before shutting down the PHY and cleaning up the MDIO bus. Fix this by moving unregister_netdev() ahead of phy_exit() in macb_remove(). Уязвимость ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Remove improper idxd_free The call to idxd_free() introduces a duplicate put_device() leading to a reference count underflow: refcount_t: underflow; use-after-free. WARNING: CPU: 15 PID: 4428 at lib/refcount.c:28 refcount_warn_saturate+0xbe/0x110 ... Call Trace: <TASK> idxd_remove+0xe4/0x120 [idxd] pci_device_remove+0x3f/0xb0 device_release_driver_internal+0x197/0x200 driver_detach+0x48/0x90 bus_remove_driver+0x74/0xf0 pci_unregister_driver+0x2e/0xb0 idxd_exit_module+0x34/0x7a0 [idxd] __do_sys_delete_module.constprop.0+0x183/0x280 do_syscall_64+0x54/0xd70 entry_SYSCALL_64_after_hwframe+0x76/0x7e The idxd_unregister_devices() which is invoked at the very beginning of idxd_remove(), already takes care of the necessary put_device() through the following call path: idxd_unregister_devices() -> device_unregister() -> put_device() In addition, when CONFIG_DEBUG_KOBJECT_RELEASE is enabled, put_device() may trigger asynchronous cleanup via schedule_delayed_work(). If idxd_free() is called immediately after, it can result in a use-after-free. Remove the improper idxd_free() to avoid both the refcount underflow and potential memory corruption during module unload. Уязвимость функции idxd_free() библиотеки lib/refcount.c компонента dmaengine ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix race condition in RPC handle list access The 'sess->rpc_handle_list' XArray manages RPC handles within a ksmbd session. Access to this list is intended to be protected by 'sess->rpc_lock' (an rw_semaphore). However, the locking implementation was flawed, leading to potential race conditions. In ksmbd_session_rpc_open(), the code incorrectly acquired only a read lock before calling xa_store() and xa_erase(). Since these operations modify the XArray structure, a write lock is required to ensure exclusive access and prevent data corruption from concurrent modifications. Furthermore, ksmbd_session_rpc_method() accessed the list using xa_load() without holding any lock at all. This could lead to reading inconsistent data or a potential use-after-free if an entry is concurrently removed and the pointer is dereferenced. Fix these issues by: 1. Using down_write() and up_write() in ksmbd_session_rpc_open() to ensure exclusive access during XArray modification, and ensuring the lock is correctly released on error paths. 2. Adding down_read() and up_read() in ksmbd_session_rpc_method() to safely protect the lookup. Уязвимость компонента ksmbd ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds read in hfsplus_uni2asc() BUG: KASAN: slab-out-of-bounds in hfsplus_uni2asc+0xa71/0xb90 fs/hfsplus/unicode.c:186 Read of size 2 at addr ffff8880289ef218 by task syz.6.248/14290 CPU: 0 UID: 0 PID: 14290 Comm: syz.6.248 Not tainted 6.16.4 #1 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1b0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x5f0 mm/kasan/report.c:482 kasan_report+0xca/0x100 mm/kasan/report.c:595 hfsplus_uni2asc+0xa71/0xb90 fs/hfsplus/unicode.c:186 hfsplus_listxattr+0x5b6/0xbd0 fs/hfsplus/xattr.c:738 vfs_listxattr+0xbe/0x140 fs/xattr.c:493 listxattr+0xee/0x190 fs/xattr.c:924 filename_listxattr fs/xattr.c:958 [inline] path_listxattrat+0x143/0x360 fs/xattr.c:988 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcb/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fe0e9fae16d Code: 02 b8 ff ff ff ff c3 66 0f 1f 44 00 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fe0eae67f98 EFLAGS: 00000246 ORIG_RAX: 00000000000000c3 RAX: ffffffffffffffda RBX: 00007fe0ea205fa0 RCX: 00007fe0e9fae16d RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000200000000000 RBP: 00007fe0ea0480f0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007fe0ea206038 R14: 00007fe0ea205fa0 R15: 00007fe0eae48000 </TASK> Allocated by task 14290: kasan_save_stack+0x24/0x50 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4333 [inline] __kmalloc_noprof+0x219/0x540 mm/slub.c:4345 kmalloc_noprof include/linux/slab.h:909 [inline] hfsplus_find_init+0x95/0x1f0 fs/hfsplus/bfind.c:21 hfsplus_listxattr+0x331/0xbd0 fs/hfsplus/xattr.c:697 vfs_listxattr+0xbe/0x140 fs/xattr.c:493 listxattr+0xee/0x190 fs/xattr.c:924 filename_listxattr fs/xattr.c:958 [inline] path_listxattrat+0x143/0x360 fs/xattr.c:988 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcb/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f When hfsplus_uni2asc is called from hfsplus_listxattr, it actually passes in a struct hfsplus_attr_unistr*. The size of the corresponding structure is different from that of hfsplus_unistr, so the previous fix (94458781aee6) is insufficient. The pointer on the unicode buffer is still going beyond the allocated memory. This patch introduces two warpper functions hfsplus_uni2asc_xattr_str and hfsplus_uni2asc_str to process two unicode buffers, struct hfsplus_attr_unistr* and struct hfsplus_unistr* respectively. When ustrlen value is bigger than the allocated memory size, the ustrlen value is limited to an safe size. Уязвимость функции hfsplus_uni2asc() ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: Fix null-deref in agg_dequeue To prevent a potential crash in agg_dequeue (net/sched/sch_qfq.c) when cl->qdisc->ops->peek(cl->qdisc) returns NULL, we check the return value before using it, similar to the existing approach in sch_hfsc.c. To avoid code duplication, the following changes are made: 1. Changed qdisc_warn_nonwc(include/net/pkt_sched.h) into a static inline function. 2. Moved qdisc_peek_len from net/sched/sch_hfsc.c to include/net/pkt_sched.h so that sch_qfq can reuse it. 3. Applied qdisc_peek_len in agg_dequeue to avoid crashing. Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix a null-ptr access in the cursor snooper Check that the resource which is converted to a surface exists before trying to use the cursor snooper on it. vmw_cmd_res_check allows explicit invalid (SVGA3D_INVALID_ID) identifiers because some svga commands accept SVGA3D_INVALID_ID to mean "no surface", unfortunately functions that accept the actual surfaces as objects might (and in case of the cursor snooper, do not) be able to handle null objects. Make sure that we validate not only the identifier (via the vmw_cmd_res_check) but also check that the actual resource exists before trying to do something with it. Fixes unchecked null-ptr reference in the snooping code. Уязвимость функции vmw_cmd_dma() модуля drivers/gpu/drm/vmwgfx/vmwgfx_execbuf.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: Use __sk_dst_get() and dst_dev_rcu() in get_netdev_for_sock(). get_netdev_for_sock() is called during setsockopt(), so not under RCU. Using sk_dst_get(sk)->dev could trigger UAF. Let's use __sk_dst_get() and dst_dev_rcu(). Note that the only ->ndo_sk_get_lower_dev() user is bond_sk_get_lower_dev(), which uses RCU. Уязвимость функции get_netdev_for_sock() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usbnet: Fix using smp_processor_id() in preemptible code warnings Syzbot reported the following warning: BUG: using smp_processor_id() in preemptible [00000000] code: dhcpcd/2879 caller is usbnet_skb_return+0x74/0x490 drivers/net/usb/usbnet.c:331 CPU: 1 UID: 0 PID: 2879 Comm: dhcpcd Not tainted 6.15.0-rc4-syzkaller-00098-g615dca38c2ea #0 PREEMPT(voluntary) Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 check_preemption_disabled+0xd0/0xe0 lib/smp_processor_id.c:49 usbnet_skb_return+0x74/0x490 drivers/net/usb/usbnet.c:331 usbnet_resume_rx+0x4b/0x170 drivers/net/usb/usbnet.c:708 usbnet_change_mtu+0x1be/0x220 drivers/net/usb/usbnet.c:417 __dev_set_mtu net/core/dev.c:9443 [inline] netif_set_mtu_ext+0x369/0x5c0 net/core/dev.c:9496 netif_set_mtu+0xb0/0x160 net/core/dev.c:9520 dev_set_mtu+0xae/0x170 net/core/dev_api.c:247 dev_ifsioc+0xa31/0x18d0 net/core/dev_ioctl.c:572 dev_ioctl+0x223/0x10e0 net/core/dev_ioctl.c:821 sock_do_ioctl+0x19d/0x280 net/socket.c:1204 sock_ioctl+0x42f/0x6a0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x190/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x260 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f For historical and portability reasons, the netif_rx() is usually run in the softirq or interrupt context, this commit therefore add local_bh_disable/enable() protection in the usbnet_resume_rx(). Уязвимость функции usbnet_resume_rx() модуля drivers/net/usb/usbnet.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: video: Fix use-after-free in acpi_video_switch_brightness() The switch_brightness_work delayed work accesses device->brightness and device->backlight, freed by acpi_video_dev_unregister_backlight() during device removal. If the work executes after acpi_video_bus_unregister_backlight() frees these resources, it causes a use-after-free when acpi_video_switch_brightness() dereferences device->brightness or device->backlight. Fix this by calling cancel_delayed_work_sync() for each device's switch_brightness_work in acpi_video_bus_remove_notify_handler() after removing the notify handler that queues the work. This ensures the work completes before the memory is freed. [ rjw: Changelog edit ] Уязвимость функции acpi_video_switch_brightness() (drivers/acpi/acpi_video.c) ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Initialise scc_index in unix_add_edge(). Quang Le reported that the AF_UNIX GC could garbage-collect a receive queue of an alive in-flight socket, with a nice repro. The repro consists of three stages. 1) 1-a. Create a single cyclic reference with many sockets 1-b. close() all sockets 1-c. Trigger GC 2) 2-a. Pass sk-A to an embryo sk-B 2-b. Pass sk-X to sk-X 2-c. Trigger GC 3) 3-a. accept() the embryo sk-B 3-b. Pass sk-B to sk-C 3-c. close() the in-flight sk-A 3-d. Trigger GC As of 2-c, sk-A and sk-X are linked to unix_unvisited_vertices, and unix_walk_scc() groups them into two different SCCs: unix_sk(sk-A)->vertex->scc_index = 2 (UNIX_VERTEX_INDEX_START) unix_sk(sk-X)->vertex->scc_index = 3 Once GC completes, unix_graph_grouped is set to true. Also, unix_graph_maybe_cyclic is set to true due to sk-X's cyclic self-reference, which makes close() trigger GC. At 3-b, unix_add_edge() allocates unix_sk(sk-B)->vertex and links it to unix_unvisited_vertices. unix_update_graph() is called at 3-a. and 3-b., but neither unix_graph_grouped nor unix_graph_maybe_cyclic is changed because both sk-B's listener and sk-C are not in-flight. 3-c decrements sk-A's file refcnt to 1. Since unix_graph_grouped is true at 3-d, unix_walk_scc_fast() is finally called and iterates 3 sockets sk-A, sk-B, and sk-X: sk-A -> sk-B (-> sk-C) sk-X -> sk-X This is totally fine. All of them are not yet close()d and should be grouped into different SCCs. However, unix_vertex_dead() misjudges that sk-A and sk-B are in the same SCC and sk-A is dead. unix_sk(sk-A)->scc_index == unix_sk(sk-B)->scc_index <-- Wrong! && sk-A's file refcnt == unix_sk(sk-A)->vertex->out_degree ^-- 1 in-flight count for sk-B -> sk-A is dead !? The problem is that unix_add_edge() does not initialise scc_index. Stage 1) is used for heap spraying, making a newly allocated vertex have vertex->scc_index == 2 (UNIX_VERTEX_INDEX_START) set by unix_walk_scc() at 1-c. Let's track the max SCC index from the previous unix_walk_scc() call and assign the max + 1 to a new vertex's scc_index. This way, we can continue to avoid Tarjan's algorithm while preventing misjudgments. Уязвимость функции __unix_walk_scc() модуля net/unix/garbage.c реализации сетевых функций ядра операционной системы Linux связана с отсутствием инициализации переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm: delete x->tunnel as we delete x The ipcomp fallback tunnels currently get deleted (from the various lists and hashtables) as the last user state that needed that fallback is destroyed (not deleted). If a reference to that user state still exists, the fallback state will remain on the hashtables/lists, triggering the WARN in xfrm_state_fini. Because of those remaining references, the fix in commit f75a2804da39 ("xfrm: destroy xfrm_state synchronously on net exit path") is not complete. We recently fixed one such situation in TCP due to defered freeing of skbs (commit 9b6412e6979f ("tcp: drop secpath at the same time as we currently drop dst")). This can also happen due to IP reassembly: skbs with a secpath remain on the reassembly queue until netns destruction. If we can't guarantee that the queues are flushed by the time xfrm_state_fini runs, there may still be references to a (user) xfrm_state, preventing the timely deletion of the corresponding fallback state. Instead of chasing each instance of skbs holding a secpath one by one, this patch fixes the issue directly within xfrm, by deleting the fallback state as soon as the last user state depending on it has been deleted. Destruction will still happen when the final reference is dropped. A separate lockdep class for the fallback state is required since we're going to lock x->tunnel while x is locked. Уязвимость функции xfrm_state_delete_tunnel() модуля net/xfrm/xfrm_state.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: Ignore signal/timeout on connect() if already established During connect(), acting on a signal/timeout by disconnecting an already established socket leads to several issues: 1. connect() invoking vsock_transport_cancel_pkt() -> virtio_transport_purge_skbs() may race with sendmsg() invoking virtio_transport_get_credit(). This results in a permanently elevated `vvs->bytes_unsent`. Which, in turn, confuses the SOCK_LINGER handling. 2. connect() resetting a connected socket's state may race with socket being placed in a sockmap. A disconnected socket remaining in a sockmap breaks sockmap's assumptions. And gives rise to WARNs. 3. connect() transitioning SS_CONNECTED -> SS_UNCONNECTED allows for a transport change/drop after TCP_ESTABLISHED. Which poses a problem for any simultaneous sendmsg() or connect() and may result in a use-after-free/null-ptr-deref. Do not disconnect socket on signal/timeout. Keep the logic for unconnected sockets: they don't linger, can't be placed in a sockmap, are rejected by sendmsg(). [1]: https://lore.kernel.org/netdev/e07fd95c-9a38-4eea-9638-133e38c2ec9b@rbox.co/ [2]: https://lore.kernel.org/netdev/20250317-vsock-trans-signal-race-v4-0-fc8837f3f1d4@rbox.co/ [3]: https://lore.kernel.org/netdev/60f1b7db-3099-4f6a-875e-af9f6ef194f6@rbox.co/ Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: devlink: rate: Unset parent pointer in devl_rate_nodes_destroy The function devl_rate_nodes_destroy is documented to "Unset parent for all rate objects". However, it was only calling the driver-specific `rate_leaf_parent_set` or `rate_node_parent_set` ops and decrementing the parent's refcount, without actually setting the `devlink_rate->parent` pointer to NULL. This leaves a dangling pointer in the `devlink_rate` struct, which cause refcount error in netdevsim[1] and mlx5[2]. In addition, this is inconsistent with the behavior of `devlink_nl_rate_parent_node_set`, where the parent pointer is correctly cleared. This patch fixes the issue by explicitly setting `devlink_rate->parent` to NULL after notifying the driver, thus fulfilling the function's documented behavior for all rate objects. [1] repro steps: echo 1 > /sys/bus/netdevsim/new_device devlink dev eswitch set netdevsim/netdevsim1 mode switchdev echo 1 > /sys/bus/netdevsim/devices/netdevsim1/sriov_numvfs devlink port function rate add netdevsim/netdevsim1/test_node devlink port function rate set netdevsim/netdevsim1/128 parent test_node echo 1 > /sys/bus/netdevsim/del_device dmesg: refcount_t: decrement hit 0; leaking memory. WARNING: CPU: 8 PID: 1530 at lib/refcount.c:31 refcount_warn_saturate+0x42/0xe0 CPU: 8 UID: 0 PID: 1530 Comm: bash Not tainted 6.18.0-rc4+ #1 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:refcount_warn_saturate+0x42/0xe0 Call Trace: <TASK> devl_rate_leaf_destroy+0x8d/0x90 __nsim_dev_port_del+0x6c/0x70 [netdevsim] nsim_dev_reload_destroy+0x11c/0x140 [netdevsim] nsim_drv_remove+0x2b/0xb0 [netdevsim] device_release_driver_internal+0x194/0x1f0 bus_remove_device+0xc6/0x130 device_del+0x159/0x3c0 device_unregister+0x1a/0x60 del_device_store+0x111/0x170 [netdevsim] kernfs_fop_write_iter+0x12e/0x1e0 vfs_write+0x215/0x3d0 ksys_write+0x5f/0xd0 do_syscall_64+0x55/0x10f0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 [2] devlink dev eswitch set pci/0000:08:00.0 mode switchdev devlink port add pci/0000:08:00.0 flavour pcisf pfnum 0 sfnum 1000 devlink port function rate add pci/0000:08:00.0/group1 devlink port function rate set pci/0000:08:00.0/32768 parent group1 modprobe -r mlx5_ib mlx5_fwctl mlx5_core dmesg: refcount_t: decrement hit 0; leaking memory. WARNING: CPU: 7 PID: 16151 at lib/refcount.c:31 refcount_warn_saturate+0x42/0xe0 CPU: 7 UID: 0 PID: 16151 Comm: bash Not tainted 6.17.0-rc7_for_upstream_min_debug_2025_10_02_12_44 #1 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:refcount_warn_saturate+0x42/0xe0 Call Trace: <TASK> devl_rate_leaf_destroy+0x8d/0x90 mlx5_esw_offloads_devlink_port_unregister+0x33/0x60 [mlx5_core] mlx5_esw_offloads_unload_rep+0x3f/0x50 [mlx5_core] mlx5_eswitch_unload_sf_vport+0x40/0x90 [mlx5_core] mlx5_sf_esw_event+0xc4/0x120 [mlx5_core] notifier_call_chain+0x33/0xa0 blocking_notifier_call_chain+0x3b/0x50 mlx5_eswitch_disable_locked+0x50/0x110 [mlx5_core] mlx5_eswitch_disable+0x63/0x90 [mlx5_core] mlx5_unload+0x1d/0x170 [mlx5_core] mlx5_uninit_one+0xa2/0x130 [mlx5_core] remove_one+0x78/0xd0 [mlx5_core] pci_device_remove+0x39/0xa0 device_release_driver_internal+0x194/0x1f0 unbind_store+0x99/0xa0 kernfs_fop_write_iter+0x12e/0x1e0 vfs_write+0x215/0x3d0 ksys_write+0x5f/0xd0 do_syscall_64+0x53/0x1f0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента net/devlink/rate.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: qlogic/qede: fix potential out-of-bounds read in qede_tpa_cont() and qede_tpa_end() The loops in 'qede_tpa_cont()' and 'qede_tpa_end()', iterate over 'cqe->len_list[]' using only a zero-length terminator as the stopping condition. If the terminator was missing or malformed, the loop could run past the end of the fixed-size array. Add an explicit bound check using ARRAY_SIZE() in both loops to prevent a potential out-of-bounds access. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функций qede_tpa_cont(), qede_tpa_end() компонента drivers/net/ethernet/qlogic/qede/qede_fp.c ядра операционной системы Linux связана с неправильным null-прекращением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/ctcm: Fix double-kfree The function 'mpc_rcvd_sweep_req(mpcginfo)' is called conditionally from function 'ctcmpc_unpack_skb'. It frees passed mpcginfo. After that a call to function 'kfree' in function 'ctcmpc_unpack_skb' frees it again. Remove 'kfree' call in function 'mpc_rcvd_sweep_req(mpcginfo)'. Bug detected by the clang static analyzer. Уязвимость компонента drivers/s390/net/ctcm_mpc.c ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: remove never-working support for setting nsh fields The validation of the set(nsh(...)) action is completely wrong. It runs through the nsh_key_put_from_nlattr() function that is the same function that validates NSH keys for the flow match and the push_nsh() action. However, the set(nsh(...)) has a very different memory layout. Nested attributes in there are doubled in size in case of the masked set(). That makes proper validation impossible. There is also confusion in the code between the 'masked' flag, that says that the nested attributes are doubled in size containing both the value and the mask, and the 'is_mask' that says that the value we're parsing is the mask. This is causing kernel crash on trying to write into mask part of the match with SW_FLOW_KEY_PUT() during validation, while validate_nsh() doesn't allocate any memory for it: BUG: kernel NULL pointer dereference, address: 0000000000000018 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 1c2383067 P4D 1c2383067 PUD 20b703067 PMD 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 8 UID: 0 Kdump: loaded Not tainted 6.17.0-rc4+ #107 PREEMPT(voluntary) RIP: 0010:nsh_key_put_from_nlattr+0x19d/0x610 [openvswitch] Call Trace: <TASK> validate_nsh+0x60/0x90 [openvswitch] validate_set.constprop.0+0x270/0x3c0 [openvswitch] __ovs_nla_copy_actions+0x477/0x860 [openvswitch] ovs_nla_copy_actions+0x8d/0x100 [openvswitch] ovs_packet_cmd_execute+0x1cc/0x310 [openvswitch] genl_family_rcv_msg_doit+0xdb/0x130 genl_family_rcv_msg+0x14b/0x220 genl_rcv_msg+0x47/0xa0 netlink_rcv_skb+0x53/0x100 genl_rcv+0x24/0x40 netlink_unicast+0x280/0x3b0 netlink_sendmsg+0x1f7/0x430 ____sys_sendmsg+0x36b/0x3a0 ___sys_sendmsg+0x87/0xd0 __sys_sendmsg+0x6d/0xd0 do_syscall_64+0x7b/0x2c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The third issue with this process is that while trying to convert the non-masked set into masked one, validate_set() copies and doubles the size of the OVS_KEY_ATTR_NSH as if it didn't have any nested attributes. It should be copying each nested attribute and doubling them in size independently. And the process must be properly reversed during the conversion back from masked to a non-masked variant during the flow dump. In the end, the only two outcomes of trying to use this action are either validation failure or a kernel crash. And if somehow someone manages to install a flow with such an action, it will most definitely not do what it is supposed to, since all the keys and the masks are mixed up. Fixing all the issues is a complex task as it requires re-writing most of the validation code. Given that and the fact that this functionality never worked since introduction, let's just remove it altogether. It's better to re-introduce it later with a proper implementation instead of trying to fix it in stable releases. Уязвимость компонента net/openvswitch ядра операционной системы Linux связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix a race in mptcp_pm_del_add_timer() mptcp_pm_del_add_timer() can call sk_stop_timer_sync(sk, &entry->add_timer) while another might have free entry already, as reported by syzbot. Add RCU protection to fix this issue. Also change confusing add_timer variable with stop_timer boolean. syzbot report: BUG: KASAN: slab-use-after-free in __timer_delete_sync+0x372/0x3f0 kernel/time/timer.c:1616 Read of size 4 at addr ffff8880311e4150 by task kworker/1:1/44 CPU: 1 UID: 0 PID: 44 Comm: kworker/1:1 Not tainted syzkaller #0 PREEMPT_{RT,(full)} Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 Workqueue: events mptcp_worker Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 __timer_delete_sync+0x372/0x3f0 kernel/time/timer.c:1616 sk_stop_timer_sync+0x1b/0x90 net/core/sock.c:3631 mptcp_pm_del_add_timer+0x283/0x310 net/mptcp/pm.c:362 mptcp_incoming_options+0x1357/0x1f60 net/mptcp/options.c:1174 tcp_data_queue+0xca/0x6450 net/ipv4/tcp_input.c:5361 tcp_rcv_established+0x1335/0x2670 net/ipv4/tcp_input.c:6441 tcp_v4_do_rcv+0x98b/0xbf0 net/ipv4/tcp_ipv4.c:1931 tcp_v4_rcv+0x252a/0x2dc0 net/ipv4/tcp_ipv4.c:2374 ip_protocol_deliver_rcu+0x221/0x440 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x3bb/0x6f0 net/ipv4/ip_input.c:239 NF_HOOK+0x30c/0x3a0 include/linux/netfilter.h:318 NF_HOOK+0x30c/0x3a0 include/linux/netfilter.h:318 __netif_receive_skb_one_core net/core/dev.c:6079 [inline] __netif_receive_skb+0x143/0x380 net/core/dev.c:6192 process_backlog+0x31e/0x900 net/core/dev.c:6544 __napi_poll+0xb6/0x540 net/core/dev.c:7594 napi_poll net/core/dev.c:7657 [inline] net_rx_action+0x5f7/0xda0 net/core/dev.c:7784 handle_softirqs+0x22f/0x710 kernel/softirq.c:622 __do_softirq kernel/softirq.c:656 [inline] __local_bh_enable_ip+0x1a0/0x2e0 kernel/softirq.c:302 mptcp_pm_send_ack net/mptcp/pm.c:210 [inline] mptcp_pm_addr_send_ack+0x41f/0x500 net/mptcp/pm.c:-1 mptcp_pm_worker+0x174/0x320 net/mptcp/pm.c:1002 mptcp_worker+0xd5/0x1170 net/mptcp/protocol.c:2762 process_one_work kernel/workqueue.c:3263 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3346 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3427 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 44: kasan_save_stack mm/kasan/common.c:56 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:77 poison_kmalloc_redzone mm/kasan/common.c:400 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:417 kasan_kmalloc include/linux/kasan.h:262 [inline] __kmalloc_cache_noprof+0x1ef/0x6c0 mm/slub.c:5748 kmalloc_noprof include/linux/slab.h:957 [inline] mptcp_pm_alloc_anno_list+0x104/0x460 net/mptcp/pm.c:385 mptcp_pm_create_subflow_or_signal_addr+0xf9d/0x1360 net/mptcp/pm_kernel.c:355 mptcp_pm_nl_fully_established net/mptcp/pm_kernel.c:409 [inline] __mptcp_pm_kernel_worker+0x417/0x1ef0 net/mptcp/pm_kernel.c:1529 mptcp_pm_worker+0x1ee/0x320 net/mptcp/pm.c:1008 mptcp_worker+0xd5/0x1170 net/mptcp/protocol.c:2762 process_one_work kernel/workqueue.c:3263 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3346 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3427 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 Freed by task 6630: kasan_save_stack mm/kasan/common.c:56 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:77 __kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:587 kasan_save_free_info mm/kasan/kasan.h:406 [inline] poison_slab_object m ---truncated--- Уязвимость функции mptcp_pm_del_add_timer() компонента net/mptcp/pm.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо отключить mptcp. Для этого необходимо выполнить действия, описанные ниже. 1. Проверьте текущее состояние mptcp: ``` sysctl net.mptcp.enabled ``` 2. Если ```net.mptcp.enabled = 1```, отключите mptcp.enabled: ``` sudo sysctl -w net.mptcp.enabled=0 ``` 3. Чтобы изменения сохранились после перезагрузки сервера, добавьте строку в конфигурационный файл: Используя полномочия администратора системы с высоким уровнем целостности, необходимо выполнить ``` echo "net.mptcp.enabled=0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf ``` Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix race condition in mptcp_schedule_work() syzbot reported use-after-free in mptcp_schedule_work() [1] Issue here is that mptcp_schedule_work() schedules a work, then gets a refcount on sk->sk_refcnt if the work was scheduled. This refcount will be released by mptcp_worker(). [A] if (schedule_work(...)) { [B] sock_hold(sk); return true; } Problem is that mptcp_worker() can run immediately and complete before [B] We need instead : sock_hold(sk); if (schedule_work(...)) return true; sock_put(sk); [1] refcount_t: addition on 0; use-after-free. WARNING: CPU: 1 PID: 29 at lib/refcount.c:25 refcount_warn_saturate+0xfa/0x1d0 lib/refcount.c:25 Call Trace: <TASK> __refcount_add include/linux/refcount.h:-1 [inline] __refcount_inc include/linux/refcount.h:366 [inline] refcount_inc include/linux/refcount.h:383 [inline] sock_hold include/net/sock.h:816 [inline] mptcp_schedule_work+0x164/0x1a0 net/mptcp/protocol.c:943 mptcp_tout_timer+0x21/0xa0 net/mptcp/protocol.c:2316 call_timer_fn+0x17e/0x5f0 kernel/time/timer.c:1747 expire_timers kernel/time/timer.c:1798 [inline] __run_timers kernel/time/timer.c:2372 [inline] __run_timer_base+0x648/0x970 kernel/time/timer.c:2384 run_timer_base kernel/time/timer.c:2393 [inline] run_timer_softirq+0xb7/0x180 kernel/time/timer.c:2403 handle_softirqs+0x22f/0x710 kernel/softirq.c:622 __do_softirq kernel/softirq.c:656 [inline] run_ktimerd+0xcf/0x190 kernel/softirq.c:1138 smpboot_thread_fn+0x542/0xa60 kernel/smpboot.c:160 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 Уязвимость функции mptcp_schedule_work() модуля net/mptcp/protocol.c реализации протокола MPTCP ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо отключить mptcp. Для этого необходимо выполнить действия, описанные ниже. 1. Проверьте текущее состояние mptcp: ``` sysctl net.mptcp.enabled ``` 2. Если ```net.mptcp.enabled = 1```, отключите mptcp.enabled: ``` sudo sysctl -w net.mptcp.enabled=0 ``` 3. Чтобы изменения сохранились после перезагрузки сервера, добавьте строку в конфигурационный файл: Используя полномочия администратора системы с высоким уровнем целостности, необходимо выполнить ``` echo "net.mptcp.enabled=0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf ``` Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: sg: Do not sleep in atomic context sg_finish_rem_req() calls blk_rq_unmap_user(). The latter function may sleep. Hence, call sg_finish_rem_req() with interrupts enabled instead of disabled. Уязвимость функции sg_finish_rem_req() модуля drivers/scsi/sg.c драйвера поддержки устройств SCSI ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: imx_sc_key - fix memory corruption on unload This is supposed to be "priv" but we accidentally pass "&priv" which is an address in the stack and so it will lead to memory corruption when the imx_sc_key_action() function is called. Remove the &. Уязвимость функции imx_sc_key_action() компонента drivers/input/keyboard/imx_sc_key.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: cros_ec_keyb - fix an invalid memory access If cros_ec_keyb_register_matrix() isn't called (due to `buttons_switches_only`) in cros_ec_keyb_probe(), `ckdev->idev` remains NULL. An invalid memory access is observed in cros_ec_keyb_process() when receiving an EC_MKBP_EVENT_KEY_MATRIX event in cros_ec_keyb_work() in such case. Unable to handle kernel read from unreadable memory at virtual address 0000000000000028 ... x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : 0000000000000000 Call trace: input_event cros_ec_keyb_work blocking_notifier_call_chain ec_irq_thread It's still unknown about why the kernel receives such malformed event, in any cases, the kernel shouldn't access `ckdev->idev` and friends if the driver doesn't intend to initialize them. Уязвимость модуля drivers/input/keyboard/cros_ec_keyb.c драйвера клавиатуры встроенного контроллера ChromeOS EC ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: be2net: pass wrb_params in case of OS2BMC be_insert_vlan_in_pkt() is called with the wrb_params argument being NULL at be_send_pkt_to_bmc() call site.  This may lead to dereferencing a NULL pointer when processing a workaround for specific packet, as commit bc0c3405abbb ("be2net: fix a Tx stall bug caused by a specific ipv6 packet") states. The correct way would be to pass the wrb_params from be_xmit(). Уязвимость функции be_send_pkt_to_bmc() модуля drivers/net/ethernet/emulex/benet/be_main.c драйвера сетевого устройства be2net ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix potential overflow of PCM transfer buffer The PCM stream data in USB-audio driver is transferred over USB URB packet buffers, and each packet size is determined dynamically. The packet sizes are limited by some factors such as wMaxPacketSize USB descriptor. OTOH, in the current code, the actually used packet sizes are determined only by the rate and the PPS, which may be bigger than the size limit above. This results in a buffer overflow, as reported by syzbot. Basically when the limit is smaller than the calculated packet size, it implies that something is wrong, most likely a weird USB descriptor. So the best option would be just to return an error at the parameter setup time before doing any further operations. This patch introduces such a sanity check, and returns -EINVAL when the packet size is greater than maxpacksize. The comparison with ep->packsize[1] alone should suffice since it's always equal or greater than ep->packsize[0]. Уязвимость функции snd_usb_endpoint_set_params() в модуле sound/usb/endpoint.c поддержки звуковых устройств USB ядра операционной системы Linux связана с неправильным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix uaf in proc_readdir_de() Pde is erased from subdir rbtree through rb_erase(), but not set the node to EMPTY, which may result in uaf access. We should use RB_CLEAR_NODE() set the erased node to EMPTY, then pde_subdir_next() will return NULL to avoid uaf access. We found an uaf issue while using stress-ng testing, need to run testcase getdent and tun in the same time. The steps of the issue is as follows: 1) use getdent to traverse dir /proc/pid/net/dev_snmp6/, and current pde is tun3; 2) in the [time windows] unregister netdevice tun3 and tun2, and erase them from rbtree. erase tun3 first, and then erase tun2. the pde(tun2) will be released to slab; 3) continue to getdent process, then pde_subdir_next() will return pde(tun2) which is released, it will case uaf access. CPU 0 | CPU 1 ------------------------------------------------------------------------- traverse dir /proc/pid/net/dev_snmp6/ | unregister_netdevice(tun->dev) //tun3 tun2 sys_getdents64() | iterate_dir() | proc_readdir() | proc_readdir_de() | snmp6_unregister_dev() pde_get(de); | proc_remove() read_unlock(&proc_subdir_lock); | remove_proc_subtree() | write_lock(&proc_subdir_lock); [time window] | rb_erase(&root->subdir_node, &parent->subdir); | write_unlock(&proc_subdir_lock); read_lock(&proc_subdir_lock); | next = pde_subdir_next(de); | pde_put(de); | de = next; //UAF | rbtree of dev_snmp6 | pde(tun3) / \ NULL pde(tun2) Уязвимость функции proc_readdir_de() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/secretmem: fix use-after-free race in fault handler When a page fault occurs in a secret memory file created with `memfd_secret(2)`, the kernel will allocate a new folio for it, mark the underlying page as not-present in the direct map, and add it to the file mapping. If two tasks cause a fault in the same page concurrently, both could end up allocating a folio and removing the page from the direct map, but only one would succeed in adding the folio to the file mapping. The task that failed undoes the effects of its attempt by (a) freeing the folio again and (b) putting the page back into the direct map. However, by doing these two operations in this order, the page becomes available to the allocator again before it is placed back in the direct mapping. If another task attempts to allocate the page between (a) and (b), and the kernel tries to access it via the direct map, it would result in a supervisor not-present page fault. Fix the ordering to restore the direct map before the folio is freed. Уязвимость функции memfd_secret() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: free copynotify stateid in nfs4_free_ol_stateid() Typically copynotify stateid is freed either when parent's stateid is being close/freed or in nfsd4_laundromat if the stateid hasn't been used in a lease period. However, in case when the server got an OPEN (which created a parent stateid), followed by a COPY_NOTIFY using that stateid, followed by a client reboot. New client instance while doing CREATE_SESSION would force expire previous state of this client. It leads to the open state being freed thru release_openowner-> nfs4_free_ol_stateid() and it finds that it still has copynotify stateid associated with it. We currently print a warning and is triggerred WARNING: CPU: 1 PID: 8858 at fs/nfsd/nfs4state.c:1550 nfs4_free_ol_stateid+0xb0/0x100 [nfsd] This patch, instead, frees the associated copynotify stateid here. If the parent stateid is freed (without freeing the copynotify stateids associated with it), it leads to the list corruption when laundromat ends up freeing the copynotify state later. [ 1626.839430] Internal error: Oops - BUG: 00000000f2000800 [#1] SMP [ 1626.842828] Modules linked in: nfnetlink_queue nfnetlink_log bluetooth cfg80211 rpcrdma rdma_cm iw_cm ib_cm ib_core nfsd nfs_acl lockd grace nfs_localio ext4 crc16 mbcache jbd2 overlay uinput snd_seq_dummy snd_hrtimer qrtr rfkill vfat fat uvcvideo snd_hda_codec_generic videobuf2_vmalloc videobuf2_memops snd_hda_intel uvc snd_intel_dspcfg videobuf2_v4l2 videobuf2_common snd_hda_codec snd_hda_core videodev snd_hwdep snd_seq mc snd_seq_device snd_pcm snd_timer snd soundcore sg loop auth_rpcgss vsock_loopback vmw_vsock_virtio_transport_common vmw_vsock_vmci_transport vmw_vmci vsock xfs 8021q garp stp llc mrp nvme ghash_ce e1000e nvme_core sr_mod nvme_keyring nvme_auth cdrom vmwgfx drm_ttm_helper ttm sunrpc dm_mirror dm_region_hash dm_log iscsi_tcp libiscsi_tcp libiscsi scsi_transport_iscsi fuse dm_multipath dm_mod nfnetlink [ 1626.855594] CPU: 2 UID: 0 PID: 199 Comm: kworker/u24:33 Kdump: loaded Tainted: G B W 6.17.0-rc7+ #22 PREEMPT(voluntary) [ 1626.857075] Tainted: [B]=BAD_PAGE, [W]=WARN [ 1626.857573] Hardware name: VMware, Inc. VMware20,1/VBSA, BIOS VMW201.00V.24006586.BA64.2406042154 06/04/2024 [ 1626.858724] Workqueue: nfsd4 laundromat_main [nfsd] [ 1626.859304] pstate: 61400005 (nZCv daif +PAN -UAO -TCO +DIT -SSBS BTYPE=--) [ 1626.860010] pc : __list_del_entry_valid_or_report+0x148/0x200 [ 1626.860601] lr : __list_del_entry_valid_or_report+0x148/0x200 [ 1626.861182] sp : ffff8000881d7a40 [ 1626.861521] x29: ffff8000881d7a40 x28: 0000000000000018 x27: ffff0000c2a98200 [ 1626.862260] x26: 0000000000000600 x25: 0000000000000000 x24: ffff8000881d7b20 [ 1626.862986] x23: ffff0000c2a981e8 x22: 1fffe00012410e7d x21: ffff0000920873e8 [ 1626.863701] x20: ffff0000920873e8 x19: ffff000086f22998 x18: 0000000000000000 [ 1626.864421] x17: 20747562202c3839 x16: 3932326636383030 x15: 3030666666662065 [ 1626.865092] x14: 6220646c756f6873 x13: 0000000000000001 x12: ffff60004fd9e4a3 [ 1626.865713] x11: 1fffe0004fd9e4a2 x10: ffff60004fd9e4a2 x9 : dfff800000000000 [ 1626.866320] x8 : 00009fffb0261b5e x7 : ffff00027ecf2513 x6 : 0000000000000001 [ 1626.866938] x5 : ffff00027ecf2510 x4 : ffff60004fd9e4a3 x3 : 0000000000000000 [ 1626.867553] x2 : 0000000000000000 x1 : ffff000096069640 x0 : 000000000000006d [ 1626.868167] Call trace: [ 1626.868382] __list_del_entry_valid_or_report+0x148/0x200 (P) [ 1626.868876] _free_cpntf_state_locked+0xd0/0x268 [nfsd] [ 1626.869368] nfs4_laundromat+0x6f8/0x1058 [nfsd] [ 1626.869813] laundromat_main+0x24/0x60 [nfsd] [ 1626.870231] process_one_work+0x584/0x1050 [ 1626.870595] worker_thread+0x4c4/0xc60 [ 1626.870893] kthread+0x2f8/0x398 [ 1626.871146] ret_from_fork+0x10/0x20 [ 1626.871422] Code: aa1303e1 aa1403e3 910e8000 97bc55d7 (d4210000) [ 1626.871892] SMP: stopping secondary CPUs Уязвимость функции nfs4_free_ol_stateid() компонента fs/nfsd/nfs4state.c ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix NULL pointer dereference in snd_usb_mixer_controls_badd In snd_usb_create_streams(), for UAC version 3 devices, the Interface Association Descriptor (IAD) is retrieved via usb_ifnum_to_if(). If this call fails, a fallback routine attempts to obtain the IAD from the next interface and sets a BADD profile. However, snd_usb_mixer_controls_badd() assumes that the IAD retrieved from usb_ifnum_to_if() is always valid, without performing a NULL check. This can lead to a NULL pointer dereference when usb_ifnum_to_if() fails to find the interface descriptor. This patch adds a NULL pointer check after calling usb_ifnum_to_if() in snd_usb_mixer_controls_badd() to prevent the dereference. This issue was discovered by syzkaller, which triggered the bug by sending a crafted USB device descriptor. Уязвимость функции snd_usb_mixer_controls_badd() компонента sound/usb/mixer.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Validate command header size against SVGA_CMD_MAX_DATASIZE This data originates from userspace and is used in buffer offset calculations which could potentially overflow causing an out-of-bounds access. Уязвимость компонента drivers/gpu/drm/vmwgfx ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: act_ife: initialize struct tc_ife to fix KMSAN kernel-infoleak Fix a KMSAN kernel-infoleak detected by the syzbot . [net?] KMSAN: kernel-infoleak in __skb_datagram_iter In tcf_ife_dump(), the variable 'opt' was partially initialized using a designatied initializer. While the padding bytes are reamined uninitialized. nla_put() copies the entire structure into a netlink message, these uninitialized bytes leaked to userspace. Initialize the structure with memset before assigning its fields to ensure all members and padding are cleared prior to beign copied. This change silences the KMSAN report and prevents potential information leaks from the kernel memory. This fix has been tested and validated by syzbot. This patch closes the bug reported at the following syzkaller link and ensures no infoleak. Уязвимость компонента net/sched/act_ife.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: act_connmark: initialize struct tc_ife to fix kernel leak In tcf_connmark_dump(), the variable 'opt' was partially initialized using a designatied initializer. While the padding bytes are reamined uninitialized. nla_put() copies the entire structure into a netlink message, these uninitialized bytes leaked to userspace. Initialize the structure with memset before assigning its fields to ensure all members and padding are cleared prior to beign copied. Уязвимость функции tcf_connmark_dump() компонента net/sched/act_connmark.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: Fix use-after-free in tipc_mon_reinit_self(). syzbot reported use-after-free of tipc_net(net)->monitors[] in tipc_mon_reinit_self(). [0] The array is protected by RTNL, but tipc_mon_reinit_self() iterates over it without RTNL. tipc_mon_reinit_self() is called from tipc_net_finalize(), which is always under RTNL except for tipc_net_finalize_work(). Let's hold RTNL in tipc_net_finalize_work(). [0]: BUG: KASAN: slab-use-after-free in __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] BUG: KASAN: slab-use-after-free in _raw_spin_lock_irqsave+0xa7/0xf0 kernel/locking/spinlock.c:162 Read of size 1 at addr ffff88805eae1030 by task kworker/0:7/5989 CPU: 0 UID: 0 PID: 5989 Comm: kworker/0:7 Not tainted syzkaller #0 PREEMPT_{RT,(full)} Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 Workqueue: events tipc_net_finalize_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 __kasan_check_byte+0x2a/0x40 mm/kasan/common.c:568 kasan_check_byte include/linux/kasan.h:399 [inline] lock_acquire+0x8d/0x360 kernel/locking/lockdep.c:5842 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] _raw_spin_lock_irqsave+0xa7/0xf0 kernel/locking/spinlock.c:162 rtlock_slowlock kernel/locking/rtmutex.c:1894 [inline] rwbase_rtmutex_lock_state kernel/locking/spinlock_rt.c:160 [inline] rwbase_write_lock+0xd3/0x7e0 kernel/locking/rwbase_rt.c:244 rt_write_lock+0x76/0x110 kernel/locking/spinlock_rt.c:243 write_lock_bh include/linux/rwlock_rt.h:99 [inline] tipc_mon_reinit_self+0x79/0x430 net/tipc/monitor.c:718 tipc_net_finalize+0x115/0x190 net/tipc/net.c:140 process_one_work kernel/workqueue.c:3236 [inline] process_scheduled_works+0xade/0x17b0 kernel/workqueue.c:3319 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3400 kthread+0x70e/0x8a0 kernel/kthread.c:463 ret_from_fork+0x439/0x7d0 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 6089: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:388 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:405 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x1a8/0x320 mm/slub.c:4407 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] tipc_mon_create+0xc3/0x4d0 net/tipc/monitor.c:657 tipc_enable_bearer net/tipc/bearer.c:357 [inline] __tipc_nl_bearer_enable+0xe16/0x13f0 net/tipc/bearer.c:1047 __tipc_nl_compat_doit net/tipc/netlink_compat.c:371 [inline] tipc_nl_compat_doit+0x3bc/0x5f0 net/tipc/netlink_compat.c:393 tipc_nl_compat_handle net/tipc/netlink_compat.c:-1 [inline] tipc_nl_compat_recv+0x83c/0xbe0 net/tipc/netlink_compat.c:1321 genl_family_rcv_msg_doit+0x215/0x300 net/netlink/genetlink.c:1115 genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x60e/0x790 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x208/0x470 net/netlink/af_netlink.c:2552 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0x846/0xa10 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x805/0xb30 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x21c/0x270 net/socket.c:729 ____sys_sendmsg+0x508/0x820 net/socket.c:2614 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2668 __sys_sendmsg net/socket.c:2700 [inline] __do_sys_sendmsg net/socket.c:2705 [inline] __se_sys_sendmsg net/socket.c:2703 [inline] __x64_sys_sendmsg+0x1a1/0x260 net/socket.c:2703 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/ ---truncated--- Уязвимость функции tipc_mon_reinit_self() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: prevent possible shift-out-of-bounds in sctp_transport_update_rto syzbot reported a possible shift-out-of-bounds [1] Blamed commit added rto_alpha_max and rto_beta_max set to 1000. It is unclear if some sctp users are setting very large rto_alpha and/or rto_beta. In order to prevent user regression, perform the test at run time. Also add READ_ONCE() annotations as sysctl values can change under us. [1] UBSAN: shift-out-of-bounds in net/sctp/transport.c:509:41 shift exponent 64 is too large for 32-bit type 'unsigned int' CPU: 0 UID: 0 PID: 16704 Comm: syz.2.2320 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:233 [inline] __ubsan_handle_shift_out_of_bounds+0x27f/0x420 lib/ubsan.c:494 sctp_transport_update_rto.cold+0x1c/0x34b net/sctp/transport.c:509 sctp_check_transmitted+0x11c4/0x1c30 net/sctp/outqueue.c:1502 sctp_outq_sack+0x4ef/0x1b20 net/sctp/outqueue.c:1338 sctp_cmd_process_sack net/sctp/sm_sideeffect.c:840 [inline] sctp_cmd_interpreter net/sctp/sm_sideeffect.c:1372 [inline] Уязвимость функции sctp_transport_update_rto() компонента net/sctp/transport.c ядра операционной системы Linux связана с неправильным побитовым смещением целого числа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: 6lowpan: reset link-local header on ipv6 recv path Bluetooth 6lowpan.c netdev has header_ops, so it must set link-local header for RX skb, otherwise things crash, eg. with AF_PACKET SOCK_RAW Add missing skb_reset_mac_header() for uncompressed ipv6 RX path. For the compressed one, it is done in lowpan_header_decompress(). Log: (BlueZ 6lowpan-tester Client Recv Raw - Success) ------ kernel BUG at net/core/skbuff.c:212! Call Trace: <IRQ> ... packet_rcv (net/packet/af_packet.c:2152) ... <TASK> __local_bh_enable_ip (kernel/softirq.c:407) netif_rx (net/core/dev.c:5648) chan_recv_cb (net/bluetooth/6lowpan.c:294 net/bluetooth/6lowpan.c:359) ------ Уязвимость компонента net/bluetooth/6lowpan.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: reorder cleanup in btusb_disconnect to avoid UAF There is a KASAN: slab-use-after-free read in btusb_disconnect(). Calling "usb_driver_release_interface(&btusb_driver, data->intf)" will free the btusb data associated with the interface. The same data is then used later in the function, hence the UAF. Fix by moving the accesses to btusb data to before the data is free'd. Уязвимость функции btusb_disconnect() компонента drivers/bluetooth/btusb.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: cancel mesh send timer when hdev removed mesh_send_done timer is not canceled when hdev is removed, which causes crash if the timer triggers after hdev is gone. Cancel the timer when MGMT removes the hdev, like other MGMT timers. Should fix the BUG: sporadically seen by BlueZ test bot (in "Mesh - Send cancel - 1" test). Log: ------ BUG: KASAN: slab-use-after-free in run_timer_softirq+0x76b/0x7d0 ... Freed by task 36: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x43/0x70 kfree+0x103/0x500 device_release+0x9a/0x210 kobject_put+0x100/0x1e0 vhci_release+0x18b/0x240 ------ Уязвимость ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix possible refcount leak in smb2_sess_setup() Reference count of ksmbd_session will leak when session need reconnect. Fix this by adding the missing ksmbd_user_session_put(). Уязвимость функции smb2_sess_setup() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix possible memory leak in smb2_read() Memory leak occurs when ksmbd_vfs_read() fails. Fix this by adding the missing kvfree(). Уязвимость функции smb2_read() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix NULL pointer dereference in VRAM logic for APU devices Previously, APU platforms (and other scenarios with uninitialized VRAM managers) triggered a NULL pointer dereference in `ttm_resource_manager_usage()`. The root cause is not that the `struct ttm_resource_manager *man` pointer itself is NULL, but that `man->bdev` (the backing device pointer within the manager) remains uninitialized (NULL) on APUs—since APUs lack dedicated VRAM and do not fully set up VRAM manager structures. When `ttm_resource_manager_usage()` attempts to acquire `man->bdev->lru_lock`, it dereferences the NULL `man->bdev`, leading to a kernel OOPS. 1. **amdgpu_cs.c**: Extend the existing bandwidth control check in `amdgpu_cs_get_threshold_for_moves()` to include a check for `ttm_resource_manager_used()`. If the manager is not used (uninitialized `bdev`), return 0 for migration thresholds immediately—skipping VRAM-specific logic that would trigger the NULL dereference. 2. **amdgpu_kms.c**: Update the `AMDGPU_INFO_VRAM_USAGE` ioctl and memory info reporting to use a conditional: if the manager is used, return the real VRAM usage; otherwise, return 0. This avoids accessing `man->bdev` when it is NULL. 3. **amdgpu_virt.c**: Modify the vf2pf (virtual function to physical function) data write path. Use `ttm_resource_manager_used()` to check validity: if the manager is usable, calculate `fb_usage` from VRAM usage; otherwise, set `fb_usage` to 0 (APUs have no discrete framebuffer to report). This approach is more robust than APU-specific checks because it: - Works for all scenarios where the VRAM manager is uninitialized (not just APUs), - Aligns with TTM's design by using its native helper function, - Preserves correct behavior for discrete GPUs (which have fully initialized `man->bdev` and pass the `ttm_resource_manager_used()` check). v4: use ttm_resource_manager_used(&adev->mman.vram_mgr.manager) instead of checking the adev->gmc.is_app_apu flag (Christian) Уязвимость компонента drivers/gpu/drm/amd/amdgpu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio-net: fix received length check in big packets Since commit 4959aebba8c0 ("virtio-net: use mtu size as buffer length for big packets"), when guest gso is off, the allocated size for big packets is not MAX_SKB_FRAGS * PAGE_SIZE anymore but depends on negotiated MTU. The number of allocated frags for big packets is stored in vi->big_packets_num_skbfrags. Because the host announced buffer length can be malicious (e.g. the host vhost_net driver's get_rx_bufs is modified to announce incorrect length), we need a check in virtio_net receive path. Currently, the check is not adapted to the new change which can lead to NULL page pointer dereference in the below while loop when receiving length that is larger than the allocated one. This commit fixes the received length check corresponding to the new change. Уязвимость компонента virtio-net ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommufd: Don't overflow during division for dirty tracking If pgshift is 63 then BITS_PER_TYPE(*bitmap->bitmap) * pgsize will overflow to 0 and this triggers divide by 0. In this case the index should just be 0, so reorganize things to divide by shift and avoid hitting any overflows. Уязвимость компонента iommufd ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix OOB access in parse_adv_monitor_pattern() In the parse_adv_monitor_pattern() function, the value of the 'length' variable is currently limited to HCI_MAX_EXT_AD_LENGTH(251). The size of the 'value' array in the mgmt_adv_pattern structure is 31. If the value of 'pattern[i].length' is set in the user space and exceeds 31, the 'patterns[i].value' array can be accessed out of bound when copied. Increasing the size of the 'value' array in the 'mgmt_adv_pattern' structure will break the userspace. Considering this, and to avoid OOB access revert the limits for 'offset' and 'length' back to the value of HCI_MAX_AD_LENGTH. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость модуля Bluetooth ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: fix use-after-free due to MST port state bypass syzbot reported[1] a use-after-free when deleting an expired fdb. It is due to a race condition between learning still happening and a port being deleted, after all its fdbs have been flushed. The port's state has been toggled to disabled so no learning should happen at that time, but if we have MST enabled, it will bypass the port's state, that together with VLAN filtering disabled can lead to fdb learning at a time when it shouldn't happen while the port is being deleted. VLAN filtering must be disabled because we flush the port VLANs when it's being deleted which will stop learning. This fix adds a check for the port's vlan group which is initialized to NULL when the port is getting deleted, that avoids the port state bypass. When MST is enabled there would be a minimal new overhead in the fast-path because the port's vlan group pointer is cache-hot. [1] https://syzkaller.appspot.com/bug?extid=dd280197f0f7ab3917be Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_event: validate skb length for unknown CC opcode In hci_cmd_complete_evt(), if the command complete event has an unknown opcode, we assume the first byte of the remaining skb->data contains the return status. However, parameter data has previously been pulled in hci_event_func(), which may leave the skb empty. If so, using skb->data[0] for the return status uses un-init memory. The fix is to check skb->len before using skb->data. Уязвимость модуля Bluetooth ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: Add bounds checking in bit_putcs to fix vmalloc-out-of-bounds Add bounds checking to prevent writes past framebuffer boundaries when rendering text near screen edges. Return early if the Y position is off-screen and clip image height to screen boundary. Break from the rendering loop if the X position is off-screen. When clipping image width to fit the screen, update the character count to match the clipped width to prevent buffer size mismatches. Without the character count update, bit_putcs_aligned and bit_putcs_unaligned receive mismatched parameters where the buffer is allocated for the clipped width but cnt reflects the original larger count, causing out-of-bounds writes. Уязвимость функции bit_putcs() модуля drivers/video/fbdev/core/bitblit.c драйвера устройств кадрового буфера ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: orangefs: fix xattr related buffer overflow... Willy Tarreau <w@1wt.eu> forwarded me a message from Disclosure <disclosure@aisle.com> with the following warning: > The helper `xattr_key()` uses the pointer variable in the loop condition > rather than dereferencing it. As `key` is incremented, it remains non-NULL > (until it runs into unmapped memory), so the loop does not terminate on > valid C strings and will walk memory indefinitely, consuming CPU or hanging > the thread. I easily reproduced this with setfattr and getfattr, causing a kernel oops, hung user processes and corrupted orangefs files. Disclosure sent along a diff (not a patch) with a suggested fix, which I based this patch on. After xattr_key started working right, xfstest generic/069 exposed an xattr related memory leak that lead to OOM. xattr_key returns a hashed key. When adding xattrs to the orangefs xattr cache, orangefs used hash_add, a kernel hashing macro. hash_add also hashes the key using hash_log which resulted in additions to the xattr cache going to the wrong hash bucket. generic/069 tortures a single file and orangefs does a getattr for the xattr "security.capability" every time. Orangefs negative caches on xattrs which includes a kmalloc. Since adds to the xattr cache were going to the wrong bucket, every getattr for "security.capability" resulted in another kmalloc, none of which were ever freed. I changed the two uses of hash_add to hlist_add_head instead and the memory leak ceased and generic/069 quit throwing furniture. Уязвимость компонента fs/orangefs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: bcsp: receive data only if registered Currently, bcsp_recv() can be called even when the BCSP protocol has not been registered. This leads to a NULL pointer dereference, as shown in the following stack trace: KASAN: null-ptr-deref in range [0x0000000000000108-0x000000000000010f] RIP: 0010:bcsp_recv+0x13d/0x1740 drivers/bluetooth/hci_bcsp.c:590 Call Trace: <TASK> hci_uart_tty_receive+0x194/0x220 drivers/bluetooth/hci_ldisc.c:627 tiocsti+0x23c/0x2c0 drivers/tty/tty_io.c:2290 tty_ioctl+0x626/0xde0 drivers/tty/tty_io.c:2706 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f To prevent this, ensure that the HCI_UART_REGISTERED flag is set before processing received data. If the protocol is not registered, return -EUNATCH. Уязвимость функции bcsp_recv() модуля drivers/bluetooth/hci_bcsp.c драйвера устройств Bluetooth ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: SCO: Fix UAF on sco_conn_free BUG: KASAN: slab-use-after-free in sco_conn_free net/bluetooth/sco.c:87 [inline] BUG: KASAN: slab-use-after-free in kref_put include/linux/kref.h:65 [inline] BUG: KASAN: slab-use-after-free in sco_conn_put+0xdd/0x410 net/bluetooth/sco.c:107 Write of size 8 at addr ffff88811cb96b50 by task kworker/u17:4/352 CPU: 1 UID: 0 PID: 352 Comm: kworker/u17:4 Not tainted 6.17.0-rc5-g717368f83676 #4 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Workqueue: hci13 hci_cmd_sync_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x10b/0x170 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x191/0x550 mm/kasan/report.c:482 kasan_report+0xc4/0x100 mm/kasan/report.c:595 sco_conn_free net/bluetooth/sco.c:87 [inline] kref_put include/linux/kref.h:65 [inline] sco_conn_put+0xdd/0x410 net/bluetooth/sco.c:107 sco_connect_cfm+0xb4/0xae0 net/bluetooth/sco.c:1441 hci_connect_cfm include/net/bluetooth/hci_core.h:2082 [inline] hci_conn_failed+0x20a/0x2e0 net/bluetooth/hci_conn.c:1313 hci_conn_unlink+0x55f/0x810 net/bluetooth/hci_conn.c:1121 hci_conn_del+0xb6/0x1110 net/bluetooth/hci_conn.c:1147 hci_abort_conn_sync+0x8c5/0xbb0 net/bluetooth/hci_sync.c:5689 hci_cmd_sync_work+0x281/0x380 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3236 [inline] process_scheduled_works+0x77e/0x1040 kernel/workqueue.c:3319 worker_thread+0xbee/0x1200 kernel/workqueue.c:3400 kthread+0x3c7/0x870 kernel/kthread.c:463 ret_from_fork+0x13a/0x1e0 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 31370: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x30/0x70 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:388 [inline] __kasan_kmalloc+0x82/0x90 mm/kasan/common.c:405 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4382 [inline] __kmalloc_noprof+0x22f/0x390 mm/slub.c:4394 kmalloc_noprof include/linux/slab.h:909 [inline] sk_prot_alloc+0xae/0x220 net/core/sock.c:2239 sk_alloc+0x34/0x5a0 net/core/sock.c:2295 bt_sock_alloc+0x3c/0x330 net/bluetooth/af_bluetooth.c:151 sco_sock_alloc net/bluetooth/sco.c:562 [inline] sco_sock_create+0xc0/0x350 net/bluetooth/sco.c:593 bt_sock_create+0x161/0x3b0 net/bluetooth/af_bluetooth.c:135 __sock_create+0x3ad/0x780 net/socket.c:1589 sock_create net/socket.c:1647 [inline] __sys_socket_create net/socket.c:1684 [inline] __sys_socket+0xd5/0x330 net/socket.c:1731 __do_sys_socket net/socket.c:1745 [inline] __se_sys_socket net/socket.c:1743 [inline] __x64_sys_socket+0x7a/0x90 net/socket.c:1743 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xc7/0x240 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 31374: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x30/0x70 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:243 [inline] __kasan_slab_free+0x3d/0x50 mm/kasan/common.c:275 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2428 [inline] slab_free mm/slub.c:4701 [inline] kfree+0x199/0x3b0 mm/slub.c:4900 sk_prot_free net/core/sock.c:2278 [inline] __sk_destruct+0x4aa/0x630 net/core/sock.c:2373 sco_sock_release+0x2ad/0x300 net/bluetooth/sco.c:1333 __sock_release net/socket.c:649 [inline] sock_close+0xb8/0x230 net/socket.c:1439 __fput+0x3d1/0x9e0 fs/file_table.c:468 task_work_run+0x206/0x2a0 kernel/task_work.c:227 get_signal+0x1201/0x1410 kernel/signal.c:2807 arch_do_signal_or_restart+0x34/0x740 arch/x86/kernel/signal.c:337 exit_to_user_mode_loop+0x68/0xc0 kernel/entry/common.c:40 exit_to_user_mode_prepare include/linux/irq-entry-common.h:225 [inline] s ---truncated--- Уязвимость функции sco_sock_kill() модуля net/bluetooth/sco.c подсистемы Bluetooth ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Verify inode mode when loading from disk The inode mode loaded from corrupted disk can be invalid. Do like what commit 0a9e74051313 ("isofs: Verify inode mode when loading from disk") does. Уязвимость компонента fs/jfs ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntfs3: pretend $Extend records as regular files Since commit af153bb63a33 ("vfs: catch invalid modes in may_open()") requires any inode be one of S_IFDIR/S_IFLNK/S_IFREG/S_IFCHR/S_IFBLK/ S_IFIFO/S_IFSOCK type, use S_IFREG for $Extend records. Уязвимость компонента fs/ntfs3 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: cdns3: gadget: Use-after-free during failed initialization and exit of cdnsp gadget In the __cdnsp_gadget_init() and cdnsp_gadget_exit() functions, the gadget structure (pdev->gadget) was freed before its endpoints. The endpoints are linked via the ep_list in the gadget structure. Freeing the gadget first leaves dangling pointers in the endpoint list. When the endpoints are subsequently freed, this results in a use-after-free. Fix: By separating the usb_del_gadget_udc() operation into distinct "del" and "put" steps, cdnsp_gadget_free_endpoints() can be executed prior to the final release of the gadget structure with usb_put_gadget(). A patch similar to bb9c74a5bd14("usb: dwc3: gadget: Free gadget structure only after freeing endpoints"). Уязвимость функций __cdnsp_gadget_init(), cdnsp_gadget_exit() компонента drivers/usb/cdns3/cdnsp-gadget.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_fs: Fix epfile null pointer access after ep enable. A race condition occurs when ffs_func_eps_enable() runs concurrently with ffs_data_reset(). The ffs_data_clear() called in ffs_data_reset() sets ffs->epfiles to NULL before resetting ffs->eps_count to 0, leading to a NULL pointer dereference when accessing epfile->ep in ffs_func_eps_enable() after successful usb_ep_enable(). The ffs->epfiles pointer is set to NULL in both ffs_data_clear() and ffs_data_close() functions, and its modification is protected by the spinlock ffs->eps_lock. And the whole ffs_func_eps_enable() function is also protected by ffs->eps_lock. Thus, add NULL pointer handling for ffs->epfiles in the ffs_func_eps_enable() function to fix issues Уязвимость функции ffs_func_eps_enable() модуля drivers/usb/gadget/function/f_fs.c драйвера гаджетов USB ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regmap: slimbus: fix bus_context pointer in regmap init calls Commit 4e65bda8273c ("ASoC: wcd934x: fix error handling in wcd934x_codec_parse_data()") revealed the problem in the slimbus regmap. That commit breaks audio playback, for instance, on sdm845 Thundercomm Dragonboard 845c board: Unable to handle kernel paging request at virtual address ffff8000847cbad4 ... CPU: 5 UID: 0 PID: 776 Comm: aplay Not tainted 6.18.0-rc1-00028-g7ea30958b305 #11 PREEMPT Hardware name: Thundercomm Dragonboard 845c (DT) ... Call trace: slim_xfer_msg+0x24/0x1ac [slimbus] (P) slim_read+0x48/0x74 [slimbus] regmap_slimbus_read+0x18/0x24 [regmap_slimbus] _regmap_raw_read+0xe8/0x174 _regmap_bus_read+0x44/0x80 _regmap_read+0x60/0xd8 _regmap_update_bits+0xf4/0x140 _regmap_select_page+0xa8/0x124 _regmap_raw_write_impl+0x3b8/0x65c _regmap_bus_raw_write+0x60/0x80 _regmap_write+0x58/0xc0 regmap_write+0x4c/0x80 wcd934x_hw_params+0x494/0x8b8 [snd_soc_wcd934x] snd_soc_dai_hw_params+0x3c/0x7c [snd_soc_core] __soc_pcm_hw_params+0x22c/0x634 [snd_soc_core] dpcm_be_dai_hw_params+0x1d4/0x38c [snd_soc_core] dpcm_fe_dai_hw_params+0x9c/0x17c [snd_soc_core] snd_pcm_hw_params+0x124/0x464 [snd_pcm] snd_pcm_common_ioctl+0x110c/0x1820 [snd_pcm] snd_pcm_ioctl+0x34/0x4c [snd_pcm] __arm64_sys_ioctl+0xac/0x104 invoke_syscall+0x48/0x104 el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x34/0xec el0t_64_sync_handler+0xa0/0xf0 el0t_64_sync+0x198/0x19c The __devm_regmap_init_slimbus() started to be used instead of __regmap_init_slimbus() after the commit mentioned above and turns out the incorrect bus_context pointer (3rd argument) was used in __devm_regmap_init_slimbus(). It should be just "slimbus" (which is equal to &slimbus->dev). Correct it. The wcd934x codec seems to be the only or the first user of devm_regmap_init_slimbus() but we should fix it till the point where __devm_regmap_init_slimbus() was introduced therefore two "Fixes" tags. While at this, also correct the same argument in __regmap_init_slimbus(). Уязвимость компонента drivers/base/regmap/regmap-slimbus.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sync: fix race in hci_cmd_sync_dequeue_once hci_cmd_sync_dequeue_once() does lookup and then cancel the entry under two separate lock sections. Meanwhile, hci_cmd_sync_work() can also delete the same entry, leading to double list_del() and "UAF". Fix this by holding cmd_sync_work_lock across both lookup and cancel, so that the entry cannot be removed concurrently. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Sync pending IRQ work before freeing ring buffer Fix a race where irq_work can be queued in bpf_ringbuf_commit() but the ring buffer is freed before the work executes. In the syzbot reproducer, a BPF program attached to sched_switch triggers bpf_ringbuf_commit(), queuing an irq_work. If the ring buffer is freed before this work executes, the irq_work thread may accesses freed memory. Calling `irq_work_sync(&rb->work)` ensures that all pending irq_work complete before freeing the buffer. Уязвимость компонента bpf ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: fix crash while sending Action Frames in standalone AP Mode Currently, whenever there is a need to transmit an Action frame, the brcmfmac driver always uses the P2P vif to send the "actframe" IOVAR to firmware. The P2P interfaces were available when wpa_supplicant is managing the wlan interface. However, the P2P interfaces are not created/initialized when only hostapd is managing the wlan interface. And if hostapd receives an ANQP Query REQ Action frame even from an un-associated STA, the brcmfmac driver tries to use an uninitialized P2P vif pointer for sending the IOVAR to firmware. This NULL pointer dereferencing triggers a driver crash. [ 1417.074538] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 [...] [ 1417.075188] Hardware name: Raspberry Pi 4 Model B Rev 1.5 (DT) [...] [ 1417.075653] Call trace: [ 1417.075662] brcmf_p2p_send_action_frame+0x23c/0xc58 [brcmfmac] [ 1417.075738] brcmf_cfg80211_mgmt_tx+0x304/0x5c0 [brcmfmac] [ 1417.075810] cfg80211_mlme_mgmt_tx+0x1b0/0x428 [cfg80211] [ 1417.076067] nl80211_tx_mgmt+0x238/0x388 [cfg80211] [ 1417.076281] genl_family_rcv_msg_doit+0xe0/0x158 [ 1417.076302] genl_rcv_msg+0x220/0x2a0 [ 1417.076317] netlink_rcv_skb+0x68/0x140 [ 1417.076330] genl_rcv+0x40/0x60 [ 1417.076343] netlink_unicast+0x330/0x3b8 [ 1417.076357] netlink_sendmsg+0x19c/0x3f8 [ 1417.076370] __sock_sendmsg+0x64/0xc0 [ 1417.076391] ____sys_sendmsg+0x268/0x2a0 [ 1417.076408] ___sys_sendmsg+0xb8/0x118 [ 1417.076427] __sys_sendmsg+0x90/0xf8 [ 1417.076445] __arm64_sys_sendmsg+0x2c/0x40 [ 1417.076465] invoke_syscall+0x50/0x120 [ 1417.076486] el0_svc_common.constprop.0+0x48/0xf0 [ 1417.076506] do_el0_svc+0x24/0x38 [ 1417.076525] el0_svc+0x30/0x100 [ 1417.076548] el0t_64_sync_handler+0x100/0x130 [ 1417.076569] el0t_64_sync+0x190/0x198 [ 1417.076589] Code: f9401e80 aa1603e2 f9403be1 5280e483 (f9400000) Fix this, by always using the vif corresponding to the wdev on which the Action frame Transmission request was initiated by the userspace. This way, even if P2P vif is not available, the IOVAR is sent to firmware on AP vif and the ANQP Query RESP Action frame is transmitted without crashing the driver. Move init_completion() for "send_af_done" from brcmf_p2p_create_p2pdev() to brcmf_p2p_attach(). Because the former function would not get executed when only hostapd is managing wlan interface, and it is not safe to do reinit_completion() later in brcmf_p2p_tx_action_frame(), without any prior init_completion(). And in the brcmf_p2p_tx_action_frame() function, the condition check for P2P Presence response frame is not needed, since the wpa_supplicant is properly sending the P2P Presense Response frame on the P2P-GO vif instead of the P2P-Device vif. [Cc stable] Уязвимость компонента drivers/net/wireless/broadcom/brcm80211/brcmfmac ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: bitblit: bound-check glyph index in bit_putcs* bit_putcs_aligned()/unaligned() derived the glyph pointer from the character value masked by 0xff/0x1ff, which may exceed the actual font's glyph count and read past the end of the built-in font array. Clamp the index to the actual glyph count before computing the address. This fixes a global out-of-bounds read reported by syzbot. Уязвимость функций bit_putcs_aligned(), bit_putcs_unaligned() компонента drivers/video/fbdev/core/bitblit.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbcon: Set fb_display[i]->mode to NULL when the mode is released Recently, we discovered the following issue through syzkaller: BUG: KASAN: slab-use-after-free in fb_mode_is_equal+0x285/0x2f0 Read of size 4 at addr ff11000001b3c69c by task syz.xxx ... Call Trace: <TASK> dump_stack_lvl+0xab/0xe0 print_address_description.constprop.0+0x2c/0x390 print_report+0xb9/0x280 kasan_report+0xb8/0xf0 fb_mode_is_equal+0x285/0x2f0 fbcon_mode_deleted+0x129/0x180 fb_set_var+0xe7f/0x11d0 do_fb_ioctl+0x6a0/0x750 fb_ioctl+0xe0/0x140 __x64_sys_ioctl+0x193/0x210 do_syscall_64+0x5f/0x9c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Based on experimentation and analysis, during framebuffer unregistration, only the memory of fb_info->modelist is freed, without setting the corresponding fb_display[i]->mode to NULL for the freed modes. This leads to UAF issues during subsequent accesses. Here's an example of reproduction steps: 1. With /dev/fb0 already registered in the system, load a kernel module to register a new device /dev/fb1; 2. Set fb1's mode to the global fb_display[] array (via FBIOPUT_CON2FBMAP); 3. Switch console from fb to VGA (to allow normal rmmod of the ko); 4. Unload the kernel module, at this point fb1's modelist is freed, leaving a wild pointer in fb_display[]; 5. Trigger the bug via system calls through fb0 attempting to delete a mode from fb0. Add a check in do_unregister_framebuffer(): if the mode to be freed exists in fb_display[], set the corresponding mode pointer to NULL. Уязвимость функции do_unregister_framebuffer() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: Fix crash in nfsd4_read_release() When tracing is enabled, the trace_nfsd_read_done trace point crashes during the pynfs read.testNoFh test. Уязвимость функции nfsd4_read_release() компонента fs/nfsd/nfs4proc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: Prevent TOCTOU out-of-bounds write For the following path not holding the sock lock, sctp_diag_dump() -> sctp_for_each_endpoint() -> sctp_ep_dump() make sure not to exceed bounds in case the address list has grown between buffer allocation (time-of-check) and write (time-of-use). Уязвимость компонента net/sctp ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: futex: Don't leak robust_list pointer on exec race sys_get_robust_list() and compat_get_robust_list() use ptrace_may_access() to check if the calling task is allowed to access another task's robust_list pointer. This check is racy against a concurrent exec() in the target process. During exec(), a task may transition from a non-privileged binary to a privileged one (e.g., setuid binary) and its credentials/memory mappings may change. If get_robust_list() performs ptrace_may_access() before this transition, it may erroneously allow access to sensitive information after the target becomes privileged. A racy access allows an attacker to exploit a window during which ptrace_may_access() passes before a target process transitions to a privileged state via exec(). For example, consider a non-privileged task T that is about to execute a setuid-root binary. An attacker task A calls get_robust_list(T) while T is still unprivileged. Since ptrace_may_access() checks permissions based on current credentials, it succeeds. However, if T begins exec immediately afterwards, it becomes privileged and may change its memory mappings. Because get_robust_list() proceeds to access T->robust_list without synchronizing with exec() it may read user-space pointers from a now-privileged process. This violates the intended post-exec access restrictions and could expose sensitive memory addresses or be used as a primitive in a larger exploit chain. Consequently, the race can lead to unauthorized disclosure of information across privilege boundaries and poses a potential security risk. Take a read lock on signal->exec_update_lock prior to invoking ptrace_may_access() and accessing the robust_list/compat_robust_list. This ensures that the target task's exec state remains stable during the check, allowing for consistent and synchronized validation of credentials. Уязвимость компонента kernel/futex ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-fc: use lock accessing port_state and rport state nvme_fc_unregister_remote removes the remote port on a lport object at any point in time when there is no active association. This races with with the reconnect logic, because nvme_fc_create_association is not taking a lock to check the port_state and atomically increase the active count on the rport. Уязвимость функции nvme_fc_create_association() модуля drivers/nvme/host/fc.c драйвера NVME ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-fc: avoid scheduling association deletion twice When forcefully shutting down a port via the configfs interface, nvmet_port_subsys_drop_link() first calls nvmet_port_del_ctrls() and then nvmet_disable_port(). Both functions will eventually schedule all remaining associations for deletion. The current implementation checks whether an association is about to be removed, but only after the work item has already been scheduled. As a result, it is possible for the first scheduled work item to free all resources, and then for the same work item to be scheduled again for deletion. Because the association list is an RCU list, it is not possible to take a lock and remove the list entry directly, so it cannot be looked up again. Instead, a flag (terminating) must be used to determine whether the association is already in the process of being deleted. Уязвимость компонента drivers/nvme/target/fc.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: storage: sddr55: Reject out-of-bound new_pba Discovered by Atuin - Automated Vulnerability Discovery Engine. new_pba comes from the status packet returned after each write. A bogus device could report values beyond the block count derived from info->capacity, letting the driver walk off the end of pba_to_lba[] and corrupt heap memory. Reject PBAs that exceed the computed block count and fail the transfer so we avoid touching out-of-range mapping entries. Уязвимость функции sddr55_write_data() модуля drivers/usb/storage/sddr55.c драйвера устройств шины USB ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sysfb: Do not dereference NULL pointer in plane reset The plane state in __drm_gem_reset_shadow_plane() can be NULL. Do not deref that pointer, but forward NULL to the other plane-reset helpers. Clears plane->state to NULL. v2: - fix typo in commit description (Javier) Уязвимость функции __drm_gem_reset_shadow_plane() компонента drivers/gpu/drm/drm_gem_atomic_helper.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ipv6: fix field-spanning memcpy warning in AH output Fix field-spanning memcpy warnings in ah6_output() and ah6_output_done() where extension headers are copied to/from IPv6 address fields, triggering fortify-string warnings about writes beyond the 16-byte address fields. memcpy: detected field-spanning write (size 40) of single field "&top_iph->saddr" at net/ipv6/ah6.c:439 (size 16) WARNING: CPU: 0 PID: 8838 at net/ipv6/ah6.c:439 ah6_output+0xe7e/0x14e0 net/ipv6/ah6.c:439 The warnings are false positives as the extension headers are intentionally placed after the IPv6 header in memory. Fix by properly copying addresses and extension headers separately, and introduce helper functions to avoid code duplication. Уязвимость функций ah6_output_done() и ah6_output() файла net/ipv6/ah6.c ядра операционной системы Linux связана с неправильным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 python-urllib3 urllib3 is a user-friendly HTTP client library for Python. Prior to 2.5.0, it is possible to disable redirects for all requests by instantiating a PoolManager and specifying retries in a way that disable redirects. By default, requests and botocore users are not affected. An application attempting to mitigate SSRF or open redirect vulnerabilities by disabling redirects at the PoolManager level will remain vulnerable. This issue has been patched in version 2.5.0. Уязвимость HTTP библиотеки Urllib3 языка программирования Python связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправлять пользователей на произвольный URL-адрес [NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.3) Отключайте перенаправление на уровне request(), а не на уровне PoolManager(). Astra Linux 3.8 grub2 A vulnerability has been identified in the GRUB2 bootloader's network module that poses an immediate Denial of Service (DoS) risk. This flaw is a Use-after-Free issue, caused because the net_set_vlan command is not properly unregistered when the network module is unloaded from memory. An attacker who can execute this command can force the system to access memory locations that are no longer valid. Successful exploitation leads directly to system instability, which can result in a complete crash and halt system availability Уязвимость компонента grub-core/net/net.c конфигурационного файла Grub связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A use-after-free vulnerability has been identified in the GNU GRUB (Grand Unified Bootloader). The flaw occurs because the file-closing process incorrectly retains a memory pointer, leaving an invalid reference to a file system structure. An attacker could exploit this vulnerability to cause grub to crash, leading to a Denial of Service. Possible data integrity or confidentiality compromise is not discarded. Уязвимость загрузчика операционных систем Grub2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании и получить несанкционированный доступ к системе [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 unbound A multi-vendor cache poisoning vulnerability named 'Rebirthday Attack' has been discovered in caching resolvers that support EDNS Client Subnet (ECS). Unbound is also vulnerable when compiled with ECS support, i.e., '--enable-subnet', AND configured to send ECS information along with queries to upstream name servers, i.e., at least one of the 'send-client-subnet', 'client-subnet-zone' or 'client-subnet-always-forward' options is used. Resolvers supporting ECS need to segregate outgoing queries to accommodate for different outgoing ECS information. This re-opens up resolvers to a birthday paradox attack (Rebirthday Attack) that tries to match the DNS transaction ID in order to cache non-ECS poisonous replies. Уязвимость DNS-сервера Unbound связана с загрузкой внешних ненадёжных данных вместе с надёжными данными. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, осуществлять атаки отравления кэша [NistCWE(cwe='CWE-349')] None None - Включить и настроить межсетевой экран ufw для фильтрации трафика; - Обеспечить возможность запуска ПО unbound только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать ПО unbound только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 3.8 python3.11 If the value passed to os.path.expandvars() is user-controlled a performance degradation is possible when expanding environment variables. Уязвимость функции os.path.expandvars() интерпретатора языка программирования Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 ruby3.1 URI is a module providing classes to handle Uniform Resource Identifiers. In versions 0.12.4 and earlier (bundled in Ruby 3.2 series) 0.13.2 and earlier (bundled in Ruby 3.3 series), 1.0.3 and earlier (bundled in Ruby 3.4 series), when using the + operator to combine URIs, sensitive information like passwords from the original URI can be leaked, violating RFC3986 and making applications vulnerable to credential exposure. This is a a bypass for the fix to CVE-2025-27221 that can expose user credentials. This issue has been fixed in versions 0.12.5, 0.13.3 and 1.0.4. Уязвимость модуля URI языка программирования Ruby, системы управления пакетами RubyGems связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 grub2 A vulnerability has been identified in the GRUB (Grand Unified Bootloader) component. This flaw occurs because the bootloader mishandles string conversion when reading information from a USB device, allowing an attacker to exploit inconsistent length values. A local attacker can connect a maliciously configured USB device during the boot sequence to trigger this issue. A successful exploitation may lead GRUB to crash, leading to a Denial of Service. Data corruption may be also possible, although given the complexity of the exploit the impact is most likely limited. Уязвимость загрузчика операционных систем Grub2 связана с неверным расчетом размера буфера при обработке получаемых пакетов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=4.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A Use-After-Free vulnerability has been discovered in GRUB's gettext module. This flaw stems from a programming error where the gettext command remains registered in memory after its module is unloaded. An attacker can exploit this condition by invoking the orphaned command, causing the application to access a memory location that is no longer valid. An attacker could exploit this vulnerability to cause grub to crash, leading to a Denial of Service. Possible data integrity or confidentiality compromise is not discarded. Уязвимость модуля gettext загрузчика операционных систем Grub2 связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A vulnerability has been identified in the GRUB2 bootloader's normal command that poses an immediate Denial of Service (DoS) risk. This flaw is a Use-after-Free issue, caused because the normal command is not properly unregistered when the module is unloaded. An attacker who can execute this command can force the system to access memory locations that are no longer valid. Successful exploitation leads directly to system instability, which can result in a complete crash and halt system availability. Impact on the data integrity and confidentiality is also not discarded. Уязвимость загрузчика операционных систем Grub2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 grub2 A vulnerability in the GRUB2 bootloader has been identified in the normal module. This flaw, a memory Use After Free issue, occurs because the normal_exit command is not properly unregistered when its related module is unloaded. An attacker can exploit this condition by invoking the command after the module has been removed, causing the system to improperly access a previously freed memory location. This leads to a system crash or possible impacts in data confidentiality and integrity. Уязвимость функции normal_exit() загрузчика операционных систем Grub2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix uninitialized waitqueue in transaction manager The transaction manager initialization in txInit() was not properly initializing TxBlock[0].waitor waitqueue, causing a crash when txEnd(0) is called on read-only filesystems. When a filesystem is mounted read-only, txBegin() returns tid=0 to indicate no transaction. However, txEnd(0) still gets called and tries to access TxBlock[0].waitor via tid_to_tblock(0), but this waitqueue was never initialized because the initialization loop started at index 1 instead of 0. This causes a 'non-static key' lockdep warning and system crash: INFO: trying to register non-static key in txEnd Fix by ensuring all transaction blocks including TxBlock[0] have their waitqueues properly initialized during txInit(). Уязвимость функции txInit() модуля fs/jfs/jfs_txnmgr.c файловой системы JFS ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix softlockup in ftrace_module_enable A soft lockup was observed when loading amdgpu module. If a module has a lot of tracable functions, multiple calls to kallsyms_lookup can spend too much time in RCU critical section and with disabled preemption, causing kernel panic. This is the same issue that was fixed in commit d0b24b4e91fc ("ftrace: Prevent RCU stall on PREEMPT_VOLUNTARY kernels") and commit 42ea22e754ba ("ftrace: Add cond_resched() to ftrace_graph_set_hash()"). Fix it the same way by adding cond_resched() in ftrace_module_enable. Уязвимость функции ftrace_module_enable() модуля kernel/trace/ftrace.c поддержки трассировки ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: cadence: Check for the existence of cdns_pcie::ops before using it cdns_pcie::ops might not be populated by all the Cadence glue drivers. This is going to be true for the upcoming Sophgo platform which doesn't set the ops. Hence, add a check to prevent NULL pointer dereference. [mani: reworded subject and description] Уязвимость компонента drivers/pci/controller/cadence ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq/longhaul: handle NULL policy in longhaul_exit longhaul_exit() was calling cpufreq_cpu_get(0) without checking for a NULL policy pointer. On some systems, this could lead to a NULL dereference and a kernel warning or panic. This patch adds a check using unlikely() and returns early if the policy is NULL. Bugzilla: #219962 Уязвимость функции longhaul_exit() модуля drivers/cpufreq/longhaul.c драйвера масштабирования частоты ЦП ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs4_setup_readdir(): insufficient locking for ->d_parent->d_inode dereferencing Theoretically it's an oopsable race, but I don't believe one can manage to hit it on real hardware; might become doable on a KVM, but it still won't be easy to attack. Anyway, it's easy to deal with - since xdr_encode_hyper() is just a call of put_unaligned_be64(), we can put that under ->d_lock and be done with that. Уязвимость функции nfs4_setup_readdir() модуля fs/nfs/nfs4proc.c поддержки клиентов NFS ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nfs ``` или ``` kmod list | grep nfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udp_tunnel: use netdev_warn() instead of netdev_WARN() netdev_WARN() uses WARN/WARN_ON to print a backtrace along with file and line information. In this case, udp_tunnel_nic_register() returning an error is just a failed operation, not a kernel bug. udp_tunnel_nic_register() can fail due to a memory allocation failure (kzalloc() or udp_tunnel_nic_alloc()). This is a normal runtime error and not a kernel bug. Replace netdev_WARN() with netdev_warn() accordingly. Уязвимость функции udp_tunnel_nic_netdevice_event() модуля net/ipv4/udp_tunnel_nic.c реализации протокола IPv4 ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: qmi_wwan: initialize MAC header offset in qmimux_rx_fixup Raw IP packets have no MAC header, leaving skb->mac_header uninitialized. This can trigger kernel panics on ARM64 when xfrm or other subsystems access the offset due to strict alignment checks. Initialize the MAC header to prevent such crashes. This can trigger kernel panics on ARM when running IPsec over the qmimux0 interface. Example trace: Internal error: Oops: 000000009600004f [#1] SMP CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.12.34-gbe78e49cb433 #1 Hardware name: LS1028A RDB Board (DT) pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : xfrm_input+0xde8/0x1318 lr : xfrm_input+0x61c/0x1318 sp : ffff800080003b20 Call trace: xfrm_input+0xde8/0x1318 xfrm6_rcv+0x38/0x44 xfrm6_esp_rcv+0x48/0xa8 ip6_protocol_deliver_rcu+0x94/0x4b0 ip6_input_finish+0x44/0x70 ip6_input+0x44/0xc0 ipv6_rcv+0x6c/0x114 __netif_receive_skb_one_core+0x5c/0x8c __netif_receive_skb+0x18/0x60 process_backlog+0x78/0x17c __napi_poll+0x38/0x180 net_rx_action+0x168/0x2f0 Уязвимость компонента drivers/net/usb/qmi_wwan.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: imon: make send_packet() more robust syzbot is reporting that imon has three problems which result in hung tasks due to forever holding device lock [1]. First problem is that when usb_rx_callback_intf0() once got -EPROTO error after ictx->dev_present_intf0 became true, usb_rx_callback_intf0() resubmits urb after printk(), and resubmitted urb causes usb_rx_callback_intf0() to again get -EPROTO error. This results in printk() flooding (RCU stalls). Alan Stern commented [2] that In theory it's okay to resubmit _if_ the driver has a robust error-recovery scheme (such as giving up after some fixed limit on the number of errors or after some fixed time has elapsed, perhaps with a time delay to prevent a flood of errors). Most drivers don't bother to do this; they simply give up right away. This makes them more vulnerable to short-term noise interference during USB transfers, but in reality such interference is quite rare. There's nothing really wrong with giving up right away. but imon has a poor error-recovery scheme which just retries forever; this behavior should be fixed. Since I'm not sure whether it is safe for imon users to give up upon any error code, this patch takes care of only union of error codes chosen from modules in drivers/media/rc/ directory which handle -EPROTO error (i.e. ir_toy, mceusb and igorplugusb). Second problem is that when usb_rx_callback_intf0() once got -EPROTO error before ictx->dev_present_intf0 becomes true, usb_rx_callback_intf0() always resubmits urb due to commit 8791d63af0cf ("[media] imon: don't wedge hardware after early callbacks"). Move the ictx->dev_present_intf0 test introduced by commit 6f6b90c9231a ("[media] imon: don't parse scancodes until intf configured") to immediately before imon_incoming_packet(), or the first problem explained above happens without printk() flooding (i.e. hung task). Third problem is that when usb_rx_callback_intf0() is not called for some reason (e.g. flaky hardware; the reproducer for this problem sometimes prevents usb_rx_callback_intf0() from being called), wait_for_completion_interruptible() in send_packet() never returns (i.e. hung task). As a workaround for such situation, change send_packet() to wait for completion with timeout of 10 seconds. Уязвимость компонента drivers/media/rc/imon.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Add bpf_prog_run_data_pointers() syzbot found that cls_bpf_classify() is able to change tc_skb_cb(skb)->drop_reason triggering a warning in sk_skb_reason_drop(). WARNING: CPU: 0 PID: 5965 at net/core/skbuff.c:1192 __sk_skb_reason_drop net/core/skbuff.c:1189 [inline] WARNING: CPU: 0 PID: 5965 at net/core/skbuff.c:1192 sk_skb_reason_drop+0x76/0x170 net/core/skbuff.c:1214 struct tc_skb_cb has been added in commit ec624fe740b4 ("net/sched: Extend qdisc control block with tc control block"), which added a wrong interaction with db58ba459202 ("bpf: wire in data and data_end for cls_act_bpf"). drop_reason was added later. Add bpf_prog_run_data_pointers() helper to save/restore the net_sched storage colliding with BPF data_meta/data_end. Уязвимость компонента bpf ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: arm: scmi: Fix genpd leak on provider registration failure If of_genpd_add_provider_onecell() fails during probe, the previously created generic power domains are not removed, leading to a memory leak and potential kernel crash later in genpd_debug_add(). Add proper error handling to unwind the initialized domains before returning from probe to ensure all resources are correctly released on failure. Example crash trace observed without this fix: | Unable to handle kernel paging request at virtual address fffffffffffffc70 | CPU: 1 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.18.0-rc1 #405 PREEMPT | Hardware name: ARM LTD ARM Juno Development Platform/ARM Juno Development Platform | pstate: 00000005 (nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) | pc : genpd_debug_add+0x2c/0x160 | lr : genpd_debug_init+0x74/0x98 | Call trace: | genpd_debug_add+0x2c/0x160 (P) | genpd_debug_init+0x74/0x98 | do_one_initcall+0xd0/0x2d8 | do_initcall_level+0xa0/0x140 | do_initcalls+0x60/0xa8 | do_basic_setup+0x28/0x40 | kernel_init_freeable+0xe8/0x170 | kernel_init+0x2c/0x140 | ret_from_fork+0x10/0x20 Уязвимость компонента drivers/pmdomain/arm/scmi_pm_domain.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksm: use range-walk function to jump over holes in scan_get_next_rmap_item Currently, scan_get_next_rmap_item() walks every page address in a VMA to locate mergeable pages. This becomes highly inefficient when scanning large virtual memory areas that contain mostly unmapped regions, causing ksmd to use large amount of cpu without deduplicating much pages. This patch replaces the per-address lookup with a range walk using walk_page_range(). The range walker allows KSM to skip over entire unmapped holes in a VMA, avoiding unnecessary lookups. This problem was previously discussed in [1]. Consider the following test program which creates a 32 TiB mapping in the virtual address space but only populates a single page: #include <unistd.h> #include <stdio.h> #include <sys/mman.h> /* 32 TiB */ const size_t size = 32ul * 1024 * 1024 * 1024 * 1024; int main() { char *area = mmap(NULL, size, PROT_READ | PROT_WRITE, MAP_NORESERVE | MAP_PRIVATE | MAP_ANON, -1, 0); if (area == MAP_FAILED) { perror("mmap() failed\n"); return -1; } /* Populate a single page such that we get an anon_vma. */ *area = 0; /* Enable KSM. */ madvise(area, size, MADV_MERGEABLE); pause(); return 0; } $ ./ksm-sparse & $ echo 1 > /sys/kernel/mm/ksm/run Without this patch ksmd uses 100% of the cpu for a long time (more then 1 hour in my test machine) scanning all the 32 TiB virtual address space that contain only one mapped page. This makes ksmd essentially deadlocked not able to deduplicate anything of value. With this patch ksmd walks only the one mapped page and skips the rest of the 32 TiB virtual address space, making the scan fast using little cpu. Уязвимость функции scan_get_next_rmap_item() компонента mm/ksm.c ядра операционной системы Linux связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: timers: Fix NULL function pointer race in timer_shutdown_sync() There is a race condition between timer_shutdown_sync() and timer expiration that can lead to hitting a WARN_ON in expire_timers(). The issue occurs when timer_shutdown_sync() clears the timer function to NULL while the timer is still running on another CPU. The race scenario looks like this: CPU0 CPU1 <SOFTIRQ> lock_timer_base() expire_timers() base->running_timer = timer; unlock_timer_base() [call_timer_fn enter] mod_timer() ... timer_shutdown_sync() lock_timer_base() // For now, will not detach the timer but only clear its function to NULL if (base->running_timer != timer) ret = detach_if_pending(timer, base, true); if (shutdown) timer->function = NULL; unlock_timer_base() [call_timer_fn exit] lock_timer_base() base->running_timer = NULL; unlock_timer_base() ... // Now timer is pending while its function set to NULL. // next timer trigger <SOFTIRQ> expire_timers() WARN_ON_ONCE(!fn) // hit ... lock_timer_base() // Now timer will detach if (base->running_timer != timer) ret = detach_if_pending(timer, base, true); if (shutdown) timer->function = NULL; unlock_timer_base() The problem is that timer_shutdown_sync() clears the timer function regardless of whether the timer is currently running. This can leave a pending timer with a NULL function pointer, which triggers the WARN_ON_ONCE(!fn) check in expire_timers(). Fix this by only clearing the timer function when actually detaching the timer. If the timer is running, leave the function pointer intact, which is safe because the timer will be properly detached when it finishes running. Уязвимость функции timer_shutdown_sync() компонента kernel/time/timer.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: pegasus-notetaker - fix potential out-of-bounds access In the pegasus_notetaker driver, the pegasus_probe() function allocates the URB transfer buffer using the wMaxPacketSize value from the endpoint descriptor. An attacker can use a malicious USB descriptor to force the allocation of a very small buffer. Subsequently, if the device sends an interrupt packet with a specific pattern (e.g., where the first byte is 0x80 or 0x42), the pegasus_parse_packet() function parses the packet without checking the allocated buffer size. This leads to an out-of-bounds memory access. Уязвимость компонента drivers/input/tablet/pegasus_notetaker.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-multipath: fix lockdep WARN due to partition scan work Blktests test cases nvme/014, 057 and 058 fail occasionally due to a lockdep WARN. As reported in the Closes tag URL, the WARN indicates that a deadlock can happen due to the dependency among disk->open_mutex, kblockd workqueue completion and partition_scan_work completion. To avoid the lockdep WARN and the potential deadlock, cut the dependency by running the partition_scan_work not by kblockd workqueue but by nvme_wq. Уязвимость компонента nvme-multipath ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ti: netcp: Standardize knav_dma_open_channel to return NULL on error Make knav_dma_open_channel consistently return NULL on error instead of ERR_PTR. Currently the header include/linux/soc/ti/knav_dma.h returns NULL when the driver is disabled, but the driver implementation does not even return NULL or ERR_PTR on failure, causing inconsistency in the users. This results in a crash in netcp_free_navigator_resources as followed (trimmed): Unhandled fault: alignment exception (0x221) at 0xfffffff2 [fffffff2] *pgd=80000800207003, *pmd=82ffda003, *pte=00000000 Internal error: : 221 [#1] SMP ARM Modules linked in: CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.17.0-rc7 #1 NONE Hardware name: Keystone PC is at knav_dma_close_channel+0x30/0x19c LR is at netcp_free_navigator_resources+0x2c/0x28c [... TRIM...] Call trace: knav_dma_close_channel from netcp_free_navigator_resources+0x2c/0x28c netcp_free_navigator_resources from netcp_ndo_open+0x430/0x46c netcp_ndo_open from __dev_open+0x114/0x29c __dev_open from __dev_change_flags+0x190/0x208 __dev_change_flags from netif_change_flags+0x1c/0x58 netif_change_flags from dev_change_flags+0x38/0xa0 dev_change_flags from ip_auto_config+0x2c4/0x11f0 ip_auto_config from do_one_initcall+0x58/0x200 do_one_initcall from kernel_init_freeable+0x1cc/0x238 kernel_init_freeable from kernel_init+0x1c/0x12c kernel_init from ret_from_fork+0x14/0x38 [... TRIM...] Standardize the error handling by making the function return NULL on all error conditions. The API is used in just the netcp_core.c so the impact is limited. Note, this change, in effect reverts commit 5b6cb43b4d62 ("net: ethernet: ti: netcp_core: return error while dma channel open issue"), but provides a less error prone implementation. Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: delete radeon_fence_process in is_signaled, no deadlock Delete the attempt to progress the queue when checking if fence is signaled. This avoids deadlock. dma-fence_ops::signaled can be called with the fence lock in unknown state. For radeon, the fence lock is also the wait queue lock. This can cause a self deadlock when signaled() tries to make forward progress on the wait queue. But advancing the queue is unneeded because incorrectly returning false from signaled() is perfectly acceptable. (cherry picked from commit 527ba26e50ec2ca2be9c7c82f3ad42998a75d0db) Уязвимость функции radeon_fence_is_signaled() модуля drivers/gpu/drm/radeon/radeon_fence.c драйвера инфраструктуры прямого рендеринга (DRI) видеокарт Radion ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: Fix proto fallback detection with BPF The sockmap feature allows bpf syscall from userspace, or based on bpf sockops, replacing the sk_prot of sockets during protocol stack processing with sockmap's custom read/write interfaces. ''' tcp_rcv_state_process() syn_recv_sock()/subflow_syn_recv_sock() tcp_init_transfer(BPF_SOCK_OPS_PASSIVE_ESTABLISHED_CB) bpf_skops_established <== sockops bpf_sock_map_update(sk) <== call bpf helper tcp_bpf_update_proto() <== update sk_prot ''' When the server has MPTCP enabled but the client sends a TCP SYN without MPTCP, subflow_syn_recv_sock() performs a fallback on the subflow, replacing the subflow sk's sk_prot with the native sk_prot. ''' subflow_syn_recv_sock() subflow_ulp_fallback() subflow_drop_ctx() mptcp_subflow_ops_undo_override() ''' Then, this subflow can be normally used by sockmap, which replaces the native sk_prot with sockmap's custom sk_prot. The issue occurs when the user executes accept::mptcp_stream_accept::mptcp_fallback_tcp_ops(). Here, it uses sk->sk_prot to compare with the native sk_prot, but this is incorrect when sockmap is used, as we may incorrectly set sk->sk_socket->ops. This fix uses the more generic sk_family for the comparison instead. Additionally, this also prevents a WARNING from occurring: result from ./scripts/decode_stacktrace.sh: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 337 at net/mptcp/protocol.c:68 mptcp_stream_accept \ (net/mptcp/protocol.c:4005) Modules linked in: ... PKRU: 55555554 Call Trace: <TASK> do_accept (net/socket.c:1989) __sys_accept4 (net/socket.c:2028 net/socket.c:2057) __x64_sys_accept (net/socket.c:2067) x64_sys_call (arch/x86/entry/syscall_64.c:41) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f87ac92b83d ---[ end trace 0000000000000000 ]--- Уязвимость компонента net/mptcp ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: tcm_loop: Fix segfault in tcm_loop_tpg_address_show() If the allocation of tl_hba->sh fails in tcm_loop_driver_probe() and we attempt to dereference it in tcm_loop_tpg_address_show() we will get a segfault, see below for an example. So, check tl_hba->sh before dereferencing it. Unable to allocate struct scsi_host BUG: kernel NULL pointer dereference, address: 0000000000000194 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 1 PID: 8356 Comm: tokio-runtime-w Not tainted 6.6.104.2-4.azl3 #1 Hardware name: Microsoft Corporation Virtual Machine/Virtual Machine, BIOS Hyper-V UEFI Release v4.1 09/28/2024 RIP: 0010:tcm_loop_tpg_address_show+0x2e/0x50 [tcm_loop] ... Call Trace: <TASK> configfs_read_iter+0x12d/0x1d0 [configfs] vfs_read+0x1b5/0x300 ksys_read+0x6f/0xf0 ... Уязвимость функции tcm_loop_tpg_address_show() компонента drivers/target/loopback/tcm_loop.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/mempool: fix poisoning order>0 pages with HIGHMEM The kernel test has reported: BUG: unable to handle page fault for address: fffba000 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page *pde = 03171067 *pte = 00000000 Oops: Oops: 0002 [#1] CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Tainted: G T 6.18.0-rc2-00031-gec7f31b2a2d3 #1 NONE a1d066dfe789f54bc7645c7989957d2bdee593ca Tainted: [T]=RANDSTRUCT Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 EIP: memset (arch/x86/include/asm/string_32.h:168 arch/x86/lib/memcpy_32.c:17) Code: a5 8b 4d f4 83 e1 03 74 02 f3 a4 83 c4 04 5e 5f 5d 2e e9 73 41 01 00 90 90 90 3e 8d 74 26 00 55 89 e5 57 56 89 c6 89 d0 89 f7 <f3> aa 89 f0 5e 5f 5d 2e e9 53 41 01 00 cc cc cc 55 89 e5 53 57 56 EAX: 0000006b EBX: 00000015 ECX: 001fefff EDX: 0000006b ESI: fffb9000 EDI: fffba000 EBP: c611fbf0 ESP: c611fbe8 DS: 007b ES: 007b FS: 0000 GS: 0000 SS: 0068 EFLAGS: 00010287 CR0: 80050033 CR2: fffba000 CR3: 0316e000 CR4: 00040690 Call Trace: poison_element (mm/mempool.c:83 mm/mempool.c:102) mempool_init_node (mm/mempool.c:142 mm/mempool.c:226) mempool_init_noprof (mm/mempool.c:250 (discriminator 1)) ? mempool_alloc_pages (mm/mempool.c:640) bio_integrity_initfn (block/bio-integrity.c:483 (discriminator 8)) ? mempool_alloc_pages (mm/mempool.c:640) do_one_initcall (init/main.c:1283) Christoph found out this is due to the poisoning code not dealing properly with CONFIG_HIGHMEM because only the first page is mapped but then the whole potentially high-order page is accessed. We could give up on HIGHMEM here, but it's straightforward to fix this with a loop that's mapping, poisoning or checking and unmapping individual pages. Уязвимость компонента mm/mempool.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/tegra: Add call to put_pid() Add a call to put_pid() corresponding to get_task_pid(). host1x_memory_context_alloc() does not take ownership of the PID so we need to free it here to avoid leaking. [mperttunen@nvidia.com: reword commit message] Уязвимость компонента drm/tegra ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtdchar: fix integer overflow in read/write ioctls The "req.start" and "req.len" variables are u64 values that come from the user at the start of the function. We mask away the high 32 bits of "req.len" so that's capped at U32_MAX but the "req.start" variable can go up to U64_MAX which means that the addition can still integer overflow. Use check_add_overflow() to fix this bug. Уязвимость компонента mtdchar ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: rawnand: cadence: fix DMA device NULL pointer dereference The DMA device pointer `dma_dev` was being dereferenced before ensuring that `cdns_ctrl->dmac` is properly initialized. Move the assignment of `dma_dev` after successfully acquiring the DMA channel to ensure the pointer is valid before use. Уязвимость компонента drivers/mtd/nand/raw/cadence-nand-controller.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: route: Prevent rt_bind_exception() from rebinding stale fnhe The sit driver's packet transmission path calls: sit_tunnel_xmit() -> update_or_create_fnhe(), which lead to fnhe_remove_oldest() being called to delete entries exceeding FNHE_RECLAIM_DEPTH+random. The race window is between fnhe_remove_oldest() selecting fnheX for deletion and the subsequent kfree_rcu(). During this time, the concurrent path's __mkroute_output() -> find_exception() can fetch the soon-to-be-deleted fnheX, and rt_bind_exception() then binds it with a new dst using a dst_hold(). When the original fnheX is freed via RCU, the dst reference remains permanently leaked. CPU 0 CPU 1 __mkroute_output() find_exception() [fnheX] update_or_create_fnhe() fnhe_remove_oldest() [fnheX] rt_bind_exception() [bind dst] RCU callback [fnheX freed, dst leak] This issue manifests as a device reference count leak and a warning in dmesg when unregistering the net device: unregister_netdevice: waiting for sitX to become free. Usage count = N Ido Schimmel provided the simple test validation method [1]. The fix clears 'oldest->fnhe_daddr' before calling fnhe_flush_routes(). Since rt_bind_exception() checks this field, setting it to zero prevents the stale fnhe from being reused and bound to a new dst just before it is freed. [1] ip netns add ns1 ip -n ns1 link set dev lo up ip -n ns1 address add 192.0.2.1/32 dev lo ip -n ns1 link add name dummy1 up type dummy ip -n ns1 route add 192.0.2.2/32 dev dummy1 ip -n ns1 link add name gretap1 up arp off type gretap \ local 192.0.2.1 remote 192.0.2.2 ip -n ns1 route add 198.51.0.0/16 dev gretap1 taskset -c 0 ip netns exec ns1 mausezahn gretap1 \ -A 198.51.100.1 -B 198.51.0.0/16 -t udp -p 1000 -c 0 -q & taskset -c 2 ip netns exec ns1 mausezahn gretap1 \ -A 198.51.100.1 -B 198.51.0.0/16 -t udp -p 1000 -c 0 -q & sleep 10 ip netns pids ns1 | xargs kill ip netns del ns1 Уязвимость компонента net/ipv4/route.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915: Avoid lock inversion when pinning to GGTT on CHV/BXT+VTD On completion of i915_vma_pin_ww(), a synchronous variant of dma_fence_work_commit() is called. When pinning a VMA to GGTT address space on a Cherry View family processor, or on a Broxton generation SoC with VTD enabled, i.e., when stop_machine() is then called from intel_ggtt_bind_vma(), that can potentially lead to lock inversion among reservation_ww and cpu_hotplug locks. [86.861179] ====================================================== [86.861193] WARNING: possible circular locking dependency detected [86.861209] 6.15.0-rc5-CI_DRM_16515-gca0305cadc2d+ #1 Tainted: G U [86.861226] ------------------------------------------------------ [86.861238] i915_module_loa/1432 is trying to acquire lock: [86.861252] ffffffff83489090 (cpu_hotplug_lock){++++}-{0:0}, at: stop_machine+0x1c/0x50 [86.861290] but task is already holding lock: [86.861303] ffffc90002e0b4c8 (reservation_ww_class_mutex){+.+.}-{3:3}, at: i915_vma_pin.constprop.0+0x39/0x1d0 [i915] [86.862233] which lock already depends on the new lock. [86.862251] the existing dependency chain (in reverse order) is: [86.862265] -> #5 (reservation_ww_class_mutex){+.+.}-{3:3}: [86.862292] dma_resv_lockdep+0x19a/0x390 [86.862315] do_one_initcall+0x60/0x3f0 [86.862334] kernel_init_freeable+0x3cd/0x680 [86.862353] kernel_init+0x1b/0x200 [86.862369] ret_from_fork+0x47/0x70 [86.862383] ret_from_fork_asm+0x1a/0x30 [86.862399] -> #4 (reservation_ww_class_acquire){+.+.}-{0:0}: [86.862425] dma_resv_lockdep+0x178/0x390 [86.862440] do_one_initcall+0x60/0x3f0 [86.862454] kernel_init_freeable+0x3cd/0x680 [86.862470] kernel_init+0x1b/0x200 [86.862482] ret_from_fork+0x47/0x70 [86.862495] ret_from_fork_asm+0x1a/0x30 [86.862509] -> #3 (&mm->mmap_lock){++++}-{3:3}: [86.862531] down_read_killable+0x46/0x1e0 [86.862546] lock_mm_and_find_vma+0xa2/0x280 [86.862561] do_user_addr_fault+0x266/0x8e0 [86.862578] exc_page_fault+0x8a/0x2f0 [86.862593] asm_exc_page_fault+0x27/0x30 [86.862607] filldir64+0xeb/0x180 [86.862620] kernfs_fop_readdir+0x118/0x480 [86.862635] iterate_dir+0xcf/0x2b0 [86.862648] __x64_sys_getdents64+0x84/0x140 [86.862661] x64_sys_call+0x1058/0x2660 [86.862675] do_syscall_64+0x91/0xe90 [86.862689] entry_SYSCALL_64_after_hwframe+0x76/0x7e [86.862703] -> #2 (&root->kernfs_rwsem){++++}-{3:3}: [86.862725] down_write+0x3e/0xf0 [86.862738] kernfs_add_one+0x30/0x3c0 [86.862751] kernfs_create_dir_ns+0x53/0xb0 [86.862765] internal_create_group+0x134/0x4c0 [86.862779] sysfs_create_group+0x13/0x20 [86.862792] topology_add_dev+0x1d/0x30 [86.862806] cpuhp_invoke_callback+0x4b5/0x850 [86.862822] cpuhp_issue_call+0xbf/0x1f0 [86.862836] __cpuhp_setup_state_cpuslocked+0x111/0x320 [86.862852] __cpuhp_setup_state+0xb0/0x220 [86.862866] topology_sysfs_init+0x30/0x50 [86.862879] do_one_initcall+0x60/0x3f0 [86.862893] kernel_init_freeable+0x3cd/0x680 [86.862908] kernel_init+0x1b/0x200 [86.862921] ret_from_fork+0x47/0x70 [86.862934] ret_from_fork_asm+0x1a/0x30 [86.862947] -> #1 (cpuhp_state_mutex){+.+.}-{3:3}: [86.862969] __mutex_lock+0xaa/0xed0 [86.862982] mutex_lock_nested+0x1b/0x30 [86.862995] __cpuhp_setup_state_cpuslocked+0x67/0x320 [86.863012] __cpuhp_setup_state+0xb0/0x220 [86.863026] page_alloc_init_cpuhp+0x2d/0x60 [86.863041] mm_core_init+0x22/0x2d0 [86.863054] start_kernel+0x576/0xbd0 [86.863068] x86_64_start_reservations+0x18/0x30 [86.863084] x86_64_start_kernel+0xbf/0x110 [86.863098] common_startup_64+0x13e/0x141 [86.863114] -> #0 (cpu_hotplug_lock){++++}-{0:0}: [86.863135] __lock_acquire+0x16 ---truncated--- Уязвимость компонента drivers/gpu/drm/i915 ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: netpoll: fix incorrect refcount handling causing incorrect cleanup commit efa95b01da18 ("netpoll: fix use after free") incorrectly ignored the refcount and prematurely set dev->npinfo to NULL during netpoll cleanup, leading to improper behavior and memory leaks. Scenario causing lack of proper cleanup: 1) A netpoll is associated with a NIC (e.g., eth0) and netdev->npinfo is allocated, and refcnt = 1 - Keep in mind that npinfo is shared among all netpoll instances. In this case, there is just one. 2) Another netpoll is also associated with the same NIC and npinfo->refcnt += 1. - Now dev->npinfo->refcnt = 2; - There is just one npinfo associated to the netdev. 3) When the first netpolls goes to clean up: - The first cleanup succeeds and clears np->dev->npinfo, ignoring refcnt. - It basically calls `RCU_INIT_POINTER(np->dev->npinfo, NULL);` - Set dev->npinfo = NULL, without proper cleanup - No ->ndo_netpoll_cleanup() is either called 4) Now the second target tries to clean up - The second cleanup fails because np->dev->npinfo is already NULL. * In this case, ops->ndo_netpoll_cleanup() was never called, and the skb pool is not cleaned as well (for the second netpoll instance) - This leaks npinfo and skbpool skbs, which is clearly reported by kmemleak. Revert commit efa95b01da18 ("netpoll: fix use after free") and adds clarifying comments emphasizing that npinfo cleanup should only happen once the refcount reaches zero, ensuring stable and correct netpoll behavior. Уязвимость компонента net/core/netpoll.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: close accepted socket when per-IP limit rejects connection When the per-IP connection limit is exceeded in ksmbd_kthread_fn(), the code sets ret = -EAGAIN and continues the accept loop without closing the just-accepted socket. That leaks one socket per rejected attempt from a single IP and enables a trivial remote DoS. Release client_sk before continuing. This bug was found with ZeroPath. Уязвимость функции ksmbd_kthread_fn() компонента fs/smb/server/transport_tcp.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix out-of-bounds read in OnBeacon ESR IE parsing The Extended Supported Rates (ESR) IE handling in OnBeacon accessed *(p + 1 + ielen) and *(p + 2 + ielen) without verifying that these offsets lie within the received frame buffer. A malformed beacon with an ESR IE positioned at the end of the buffer could cause an out-of-bounds read, potentially triggering a kernel panic. Add a boundary check to ensure that the ESR IE body and the subsequent bytes are within the limits of the frame before attempting to access them. This prevents OOB reads caused by malformed beacon frames. Уязвимость функции OnBeacon() модуля drivers/staging/rtl8723bs/core/rtw_mlme_ext.c поддержки дополнительных устройств ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix stack buffer overflow in OnAssocReq IE parsing The Supported Rates IE length from an incoming Association Request frame was used directly as the memcpy() length when copying into a fixed-size 16-byte stack buffer (supportRate). A malicious station can advertise an IE length larger than 16 bytes, causing a stack buffer overflow. Clamp ie_len to the buffer size before copying the Supported Rates IE, and correct the bounds check when merging Extended Supported Rates to prevent a second potential overflow. This prevents kernel stack corruption triggered by malformed association requests. Уязвимость функции OnAssocReq() ядра операционной системы Linux связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix out-of-bounds read in rtw_get_ie() parser The Information Element (IE) parser rtw_get_ie() trusted the length byte of each IE without validating that the IE body (len bytes after the 2-byte header) fits inside the remaining frame buffer. A malformed frame can advertise an IE length larger than the available data, causing the parser to increment its pointer beyond the buffer end. This results in out-of-bounds reads or, depending on the pattern, an infinite loop. Fix by validating that (offset + 2 + len) does not exceed the limit before accepting the IE or advancing to the next element. This prevents OOB reads and ensures the parser terminates safely on malformed frames. Уязвимость функции rtw_get_ie() модуля drivers/staging/rtl8723bs/core/rtw_ieee80211.c поддержки дополнительных устройств ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: check device's attached status in compat ioctls Syzbot identified an issue [1] that crashes kernel, seemingly due to unexistent callback dev->get_valid_routes(). By all means, this should not occur as said callback must always be set to get_zero_valid_routes() in __comedi_device_postconfig(). As the crash seems to appear exclusively in i386 kernels, at least, judging from [1] reports, the blame lies with compat versions of standard IOCTL handlers. Several of them are modified and do not use comedi_unlocked_ioctl(). While functionality of these ioctls essentially copy their original versions, they do not have required sanity check for device's attached status. This, in turn, leads to a possibility of calling select IOCTLs on a device that has not been properly setup, even via COMEDI_DEVCONFIG. Doing so on unconfigured devices means that several crucial steps are missed, for instance, specifying dev->get_valid_routes() callback. Fix this somewhat crudely by ensuring device's attached status before performing any ioctls, improving logic consistency between modern and compat functions. [1] Syzbot report: BUG: kernel NULL pointer dereference, address: 0000000000000000 ... CR2: ffffffffffffffd6 CR3: 000000006c717000 CR4: 0000000000352ef0 Call Trace: <TASK> get_valid_routes drivers/comedi/comedi_fops.c:1322 [inline] parse_insn+0x78c/0x1970 drivers/comedi/comedi_fops.c:1401 do_insnlist_ioctl+0x272/0x700 drivers/comedi/comedi_fops.c:1594 compat_insnlist drivers/comedi/comedi_fops.c:3208 [inline] comedi_compat_ioctl+0x810/0x990 drivers/comedi/comedi_fops.c:3273 __do_compat_sys_ioctl fs/ioctl.c:695 [inline] __se_compat_sys_ioctl fs/ioctl.c:638 [inline] __ia32_compat_sys_ioctl+0x242/0x370 fs/ioctl.c:638 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] ... Уязвимость компонента drivers/comedi ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: multiq3: sanitize config options in multiq3_attach() Syzbot identified an issue [1] in multiq3_attach() that induces a task timeout due to open() or COMEDI_DEVCONFIG ioctl operations, specifically, in the case of multiq3 driver. This problem arose when syzkaller managed to craft weird configuration options used to specify the number of channels in encoder subdevice. If a particularly great number is passed to s->n_chan in multiq3_attach() via it->options[2], then multiple calls to multiq3_encoder_reset() at the end of driver-specific attach() method will be running for minutes, thus blocking tasks and affected devices as well. While this issue is most likely not too dangerous for real-life devices, it still makes sense to sanitize configuration inputs. Enable a sensible limit on the number of encoder chips (4 chips max, each with 2 channels) to stop this behaviour from manifesting. [1] Syzbot crash: INFO: task syz.2.19:6067 blocked for more than 143 seconds. ... Call Trace: <TASK> context_switch kernel/sched/core.c:5254 [inline] __schedule+0x17c4/0x4d60 kernel/sched/core.c:6862 __schedule_loop kernel/sched/core.c:6944 [inline] schedule+0x165/0x360 kernel/sched/core.c:6959 schedule_preempt_disabled+0x13/0x30 kernel/sched/core.c:7016 __mutex_lock_common kernel/locking/mutex.c:676 [inline] __mutex_lock+0x7e6/0x1350 kernel/locking/mutex.c:760 comedi_open+0xc0/0x590 drivers/comedi/comedi_fops.c:2868 chrdev_open+0x4cc/0x5e0 fs/char_dev.c:414 do_dentry_open+0x953/0x13f0 fs/open.c:965 vfs_open+0x3b/0x340 fs/open.c:1097 ... Уязвимость функции multiq3_attach() модуля drivers/comedi/drivers/multiq3.c поддержки устройств сбора данных ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: add i_data_sem protection in ext4_destroy_inline_data_nolock() Fix a race between inline data destruction and block mapping. The function ext4_destroy_inline_data_nolock() changes the inode data layout by clearing EXT4_INODE_INLINE_DATA and setting EXT4_INODE_EXTENTS. At the same time, another thread may execute ext4_map_blocks(), which tests EXT4_INODE_EXTENTS to decide whether to call ext4_ext_map_blocks() or ext4_ind_map_blocks(). Without i_data_sem protection, ext4_ind_map_blocks() may receive inode with EXT4_INODE_EXTENTS flag and triggering assert. kernel BUG at fs/ext4/indirect.c:546! EXT4-fs (loop2): unmounting filesystem. invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:ext4_ind_map_blocks.cold+0x2b/0x5a fs/ext4/indirect.c:546 Call Trace: <TASK> ext4_map_blocks+0xb9b/0x16f0 fs/ext4/inode.c:681 _ext4_get_block+0x242/0x590 fs/ext4/inode.c:822 ext4_block_write_begin+0x48b/0x12c0 fs/ext4/inode.c:1124 ext4_write_begin+0x598/0xef0 fs/ext4/inode.c:1255 ext4_da_write_begin+0x21e/0x9c0 fs/ext4/inode.c:3000 generic_perform_write+0x259/0x5d0 mm/filemap.c:3846 ext4_buffered_write_iter+0x15b/0x470 fs/ext4/file.c:285 ext4_file_write_iter+0x8e0/0x17f0 fs/ext4/file.c:679 call_write_iter include/linux/fs.h:2271 [inline] do_iter_readv_writev+0x212/0x3c0 fs/read_write.c:735 do_iter_write+0x186/0x710 fs/read_write.c:861 vfs_iter_write+0x70/0xa0 fs/read_write.c:902 iter_file_splice_write+0x73b/0xc90 fs/splice.c:685 do_splice_from fs/splice.c:763 [inline] direct_splice_actor+0x10f/0x170 fs/splice.c:950 splice_direct_to_actor+0x33a/0xa10 fs/splice.c:896 do_splice_direct+0x1a9/0x280 fs/splice.c:1002 do_sendfile+0xb13/0x12c0 fs/read_write.c:1255 __do_sys_sendfile64 fs/read_write.c:1323 [inline] __se_sys_sendfile64 fs/read_write.c:1309 [inline] __x64_sys_sendfile64+0x1cf/0x210 fs/read_write.c:1309 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Уязвимость функции ext4_destroy_inline_data_nolock() модуля fs/ext4/inline.c файловой системы Ext4 ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: ipc: fix use-after-free in ipc_msg_send_request ipc_msg_send_request() waits for a generic netlink reply using an ipc_msg_table_entry on the stack. The generic netlink handler (handle_generic_event()/handle_response()) fills entry->response under ipc_msg_table_lock, but ipc_msg_send_request() used to validate and free entry->response without holding the same lock. Under high concurrency this allows a race where handle_response() is copying data into entry->response while ipc_msg_send_request() has just freed it, leading to a slab-use-after-free reported by KASAN in handle_generic_event(): BUG: KASAN: slab-use-after-free in handle_generic_event+0x3c4/0x5f0 [ksmbd] Write of size 12 at addr ffff888198ee6e20 by task pool/109349 ... Freed by task: kvfree ipc_msg_send_request [ksmbd] ksmbd_rpc_open -> ksmbd_session_rpc_open [ksmbd] Fix by: - Taking ipc_msg_table_lock in ipc_msg_send_request() while validating entry->response, freeing it when invalid, and removing the entry from ipc_msg_table. - Returning the final entry->response pointer to the caller only after the hash entry is removed under the lock. - Returning NULL in the error path, preserving the original API semantics. This makes all accesses to entry->response consistent with handle_response(), which already updates and fills the response buffer under ipc_msg_table_lock, and closes the race that allowed the UAF. Уязвимость функции ipc_msg_send_request() ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Уязвимость затрагивает модуль ksmbd.ko в ядра Linux. 1. Чтобы проверить, загружен ли модуль ksmbd в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ksmbd ``` или ``` kmod list | grep ksmbd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, но не используется, то его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ksmbd ``` В случае, если модуль ksmbd используется, перейдите к шагу 7. 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ksmbd /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: refresh inline data size before write operations The cached ei->i_inline_size can become stale between the initial size check and when ext4_update_inline_data()/ext4_create_inline_data() use it. Although ext4_get_max_inline_size() reads the correct value at the time of the check, concurrent xattr operations can modify i_inline_size before ext4_write_lock_xattr() is acquired. This causes ext4_update_inline_data() and ext4_create_inline_data() to work with stale capacity values, leading to a BUG_ON() crash in ext4_write_inline_data(): kernel BUG at fs/ext4/inline.c:1331! BUG_ON(pos + len > EXT4_I(inode)->i_inline_size); The race window: 1. ext4_get_max_inline_size() reads i_inline_size = 60 (correct) 2. Size check passes for 50-byte write 3. [Another thread adds xattr, i_inline_size changes to 40] 4. ext4_write_lock_xattr() acquires lock 5. ext4_update_inline_data() uses stale i_inline_size = 60 6. Attempts to write 50 bytes but only 40 bytes actually available 7. BUG_ON() triggers Fix this by recalculating i_inline_size via ext4_find_inline_data_nolock() immediately after acquiring xattr_sem. This ensures ext4_update_inline_data() and ext4_create_inline_data() work with current values that are protected from concurrent modifications. This is similar to commit a54c4613dac1 ("ext4: fix race writing to an inline_data file while its xattrs are changing") which fixed i_inline_off staleness. This patch addresses the related i_inline_size staleness issue. Уязвимость функции ext4_prepare_inline_data() модуля fs/ext4/inline.c файловой системы Ext4 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bfs: Reconstruct file type when loading from disk syzbot is reporting that S_IFMT bits of inode->i_mode can become bogus when the S_IFMT bits of the 32bits "mode" field loaded from disk are corrupted or when the 32bits "attributes" field loaded from disk are corrupted. A documentation says that BFS uses only lower 9 bits of the "mode" field. But I can't find an explicit explanation that the unused upper 23 bits (especially, the S_IFMT bits) are initialized with 0. Therefore, ignore the S_IFMT bits of the "mode" field loaded from disk. Also, verify that the value of the "attributes" field loaded from disk is either BFS_VREG or BFS_VDIR (because BFS supports only regular files and the root directory). Уязвимость функции bfs_iget() модуля fs/bfs/inode.c файловой системы ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: udc: fix use-after-free in usb_gadget_state_work A race condition during gadget teardown can lead to a use-after-free in usb_gadget_state_work(), as reported by KASAN: BUG: KASAN: invalid-access in sysfs_notify+0x2c/0xd0 Workqueue: events usb_gadget_state_work The fundamental race occurs because a concurrent event (e.g., an interrupt) can call usb_gadget_set_state() and schedule gadget->work at any time during the cleanup process in usb_del_gadget(). Commit 399a45e5237c ("usb: gadget: core: flush gadget workqueue after device removal") attempted to fix this by moving flush_work() to after device_del(). However, this does not fully solve the race, as a new work item can still be scheduled *after* flush_work() completes but before the gadget's memory is freed, leading to the same use-after-free. This patch fixes the race condition robustly by introducing a 'teardown' flag and a 'state_lock' spinlock to the usb_gadget struct. The flag is set during cleanup in usb_del_gadget() *before* calling flush_work() to prevent any new work from being scheduled once cleanup has commenced. The scheduling site, usb_gadget_set_state(), now checks this flag under the lock before queueing the work, thus safely closing the race window. Уязвимость функции usb_gadget_state_work() компонента /drivers/usb/gadget/udc/core.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: replace BUG_ON with bounds check for map->max_osd OSD indexes come from untrusted network packets. Boundary checks are added to validate these against map->max_osd. [ idryomov: drop BUG_ON in ceph_get_primary_affinity(), minor cosmetic edits ] Уязвимость ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: prevent potential out-of-bounds writes in handle_auth_session_key() The len field originates from untrusted network packets. Boundary checks have been added to prevent potential out-of-bounds writes when decrypting the connection secret or processing service tickets. [ idryomov: changelog ] Уязвимость функции handle_auth_session_key() модуля net/ceph/auth_x.c реализации сетевых функций ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля libceph.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль libceph в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep libceph ``` или ``` kmod list | grep libceph ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod libceph ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install libceph /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: fix potential use-after-free in have_mon_and_osd_map() The wait loop in __ceph_open_session() can race with the client receiving a new monmap or osdmap shortly after the initial map is received. Both ceph_monc_handle_map() and handle_one_map() install a new map immediately after freeing the old one kfree(monc->monmap); monc->monmap = monmap; ceph_osdmap_destroy(osdc->osdmap); osdc->osdmap = newmap; under client->monc.mutex and client->osdc.lock respectively, but because neither is taken in have_mon_and_osd_map() it's possible for client->monc.monmap->epoch and client->osdc.osdmap->epoch arms in client->monc.monmap && client->monc.monmap->epoch && client->osdc.osdmap && client->osdc.osdmap->epoch; condition to dereference an already freed map. This happens to be reproducible with generic/395 and generic/397 with KASAN enabled: BUG: KASAN: slab-use-after-free in have_mon_and_osd_map+0x56/0x70 Read of size 4 at addr ffff88811012d810 by task mount.ceph/13305 CPU: 2 UID: 0 PID: 13305 Comm: mount.ceph Not tainted 6.14.0-rc2-build2+ #1266 ... Call Trace: <TASK> have_mon_and_osd_map+0x56/0x70 ceph_open_session+0x182/0x290 ceph_get_tree+0x333/0x680 vfs_get_tree+0x49/0x180 do_new_mount+0x1a3/0x2d0 path_mount+0x6dd/0x730 do_mount+0x99/0xe0 __do_sys_mount+0x141/0x180 do_syscall_64+0x9f/0x100 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> Allocated by task 13305: ceph_osdmap_alloc+0x16/0x130 ceph_osdc_init+0x27a/0x4c0 ceph_create_client+0x153/0x190 create_fs_client+0x50/0x2a0 ceph_get_tree+0xff/0x680 vfs_get_tree+0x49/0x180 do_new_mount+0x1a3/0x2d0 path_mount+0x6dd/0x730 do_mount+0x99/0xe0 __do_sys_mount+0x141/0x180 do_syscall_64+0x9f/0x100 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 9475: kfree+0x212/0x290 handle_one_map+0x23c/0x3b0 ceph_osdc_handle_map+0x3c9/0x590 mon_dispatch+0x655/0x6f0 ceph_con_process_message+0xc3/0xe0 ceph_con_v1_try_read+0x614/0x760 ceph_con_workfn+0x2de/0x650 process_one_work+0x486/0x7c0 process_scheduled_works+0x73/0x90 worker_thread+0x1c8/0x2a0 kthread+0x2ec/0x300 ret_from_fork+0x24/0x40 ret_from_fork_asm+0x1a/0x30 Rewrite the wait loop to check the above condition directly with client->monc.mutex and client->osdc.lock taken as appropriate. While at it, improve the timeout handling (previously mount_timeout could be exceeded in case wait_event_interruptible_timeout() slept more than once) and access client->auth_err under client->monc.mutex to match how it's set in finish_auth(). monmap_show() and osdmap_show() now take the respective lock before accessing the map as well. Уязвимость функции have_mon_and_osd_map() компонента net/ceph/ceph_common.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check NULL before accessing [WHAT] IGT kms_cursor_legacy's long-nonblocking-modeset-vs-cursor-atomic fails with NULL pointer dereference. This can be reproduced with both an eDP panel and a DP monitors connected. BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 13 UID: 0 PID: 2960 Comm: kms_cursor_lega Not tainted 6.16.0-99-custom #8 PREEMPT(voluntary) Hardware name: AMD ........ RIP: 0010:dc_stream_get_scanoutpos+0x34/0x130 [amdgpu] Code: 57 4d 89 c7 41 56 49 89 ce 41 55 49 89 d5 41 54 49 89 fc 53 48 83 ec 18 48 8b 87 a0 64 00 00 48 89 75 d0 48 c7 c6 e0 41 30 c2 <48> 8b 38 48 8b 9f 68 06 00 00 e8 8d d7 fd ff 31 c0 48 81 c3 e0 02 RSP: 0018:ffffd0f3c2bd7608 EFLAGS: 00010292 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffd0f3c2bd7668 RDX: ffffd0f3c2bd7664 RSI: ffffffffc23041e0 RDI: ffff8b32494b8000 RBP: ffffd0f3c2bd7648 R08: ffffd0f3c2bd766c R09: ffffd0f3c2bd7760 R10: ffffd0f3c2bd7820 R11: 0000000000000000 R12: ffff8b32494b8000 R13: ffffd0f3c2bd7664 R14: ffffd0f3c2bd7668 R15: ffffd0f3c2bd766c FS: 000071f631b68700(0000) GS:ffff8b399f114000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000001b8105000 CR4: 0000000000f50ef0 PKRU: 55555554 Call Trace: <TASK> dm_crtc_get_scanoutpos+0xd7/0x180 [amdgpu] amdgpu_display_get_crtc_scanoutpos+0x86/0x1c0 [amdgpu] ? __pfx_amdgpu_crtc_get_scanout_position+0x10/0x10[amdgpu] amdgpu_crtc_get_scanout_position+0x27/0x50 [amdgpu] drm_crtc_vblank_helper_get_vblank_timestamp_internal+0xf7/0x400 drm_crtc_vblank_helper_get_vblank_timestamp+0x1c/0x30 drm_crtc_get_last_vbltimestamp+0x55/0x90 drm_crtc_next_vblank_start+0x45/0xa0 drm_atomic_helper_wait_for_fences+0x81/0x1f0 ... (cherry picked from commit 621e55f1919640acab25383362b96e65f2baea3c) Уязвимость функции dc_stream_get_scanoutpos() модуля drivers/gpu/drm/amd/display/dc/core/dc_stream.c драйвера инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: Fix race condition between concurrent dwc3_remove_requests() call paths This patch addresses a race condition caused by unsynchronized execution of multiple call paths invoking `dwc3_remove_requests()`, leading to premature freeing of USB requests and subsequent crashes. Three distinct execution paths interact with `dwc3_remove_requests()`: Path 1: Triggered via `dwc3_gadget_reset_interrupt()` during USB reset handling. The call stack includes: - `dwc3_ep0_reset_state()` - `dwc3_ep0_stall_and_restart()` - `dwc3_ep0_out_start()` - `dwc3_remove_requests()` - `dwc3_gadget_del_and_unmap_request()` Path 2: Also initiated from `dwc3_gadget_reset_interrupt()`, but through `dwc3_stop_active_transfers()`. The call stack includes: - `dwc3_stop_active_transfers()` - `dwc3_remove_requests()` - `dwc3_gadget_del_and_unmap_request()` Path 3: Occurs independently during `adb root` execution, which triggers USB function unbind and bind operations. The sequence includes: - `gserial_disconnect()` - `usb_ep_disable()` - `dwc3_gadget_ep_disable()` - `dwc3_remove_requests()` with `-ESHUTDOWN` status Path 3 operates asynchronously and lacks synchronization with Paths 1 and 2. When Path 3 completes, it disables endpoints and frees 'out' requests. If Paths 1 or 2 are still processing these requests, accessing freed memory leads to a crash due to use-after-free conditions. To fix this added check for request completion and skip processing if already completed and added the request status for ep0 while queue. Уязвимость компонента drivers/usb/dwc3 ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: storage: Fix memory leak in USB bulk transport A kernel memory leak was identified by the 'ioctl_sg01' test from Linux Test Project (LTP). The following bytes were mainly observed: 0x53425355. When USB storage devices incorrectly skip the data phase with status data, the code extracts/validates the CSW from the sg buffer, but fails to clear it afterwards. This leaves status protocol data in srb's transfer buffer, such as the US_BULK_CS_SIGN 'USBS' signature observed here. Thus, this can lead to USB protocols leaks to user space through SCSI generic (/dev/sg*) interfaces, such as the one seen here when the LTP test requested 512 KiB. Fix the leak by zeroing the CSW data in srb's transfer buffer immediately after the validation of devices that skip data phase. Note: Differently from CVE-2018-1000204, which fixed a big leak by zero- ing pages at allocation time, this leak occurs after allocation, when USB protocol data is written to already-allocated sg pages. Уязвимость компонента drivers/usb/storage ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_eem: Fix memory leak in eem_unwrap The existing code did not handle the failure case of usb_ep_queue in the command path, potentially leading to memory leaks. Improve error handling to free all allocated resources on usb_ep_queue failure. This patch continues to use goto logic for error handling, as the existing error handling is complex and not easily adaptable to auto-cleanup helpers. kmemleak results: unreferenced object 0xffffff895a512300 (size 240): backtrace: slab_post_alloc_hook+0xbc/0x3a4 kmem_cache_alloc+0x1b4/0x358 skb_clone+0x90/0xd8 eem_unwrap+0x1cc/0x36c unreferenced object 0xffffff8a157f4000 (size 256): backtrace: slab_post_alloc_hook+0xbc/0x3a4 __kmem_cache_alloc_node+0x1b4/0x2dc kmalloc_trace+0x48/0x140 dwc3_gadget_ep_alloc_request+0x58/0x11c usb_ep_alloc_request+0x40/0xe4 eem_unwrap+0x204/0x36c unreferenced object 0xffffff8aadbaac00 (size 128): backtrace: slab_post_alloc_hook+0xbc/0x3a4 __kmem_cache_alloc_node+0x1b4/0x2dc __kmalloc+0x64/0x1a8 eem_unwrap+0x218/0x36c unreferenced object 0xffffff89ccef3500 (size 64): backtrace: slab_post_alloc_hook+0xbc/0x3a4 __kmem_cache_alloc_node+0x1b4/0x2dc kmalloc_trace+0x48/0x140 eem_unwrap+0x238/0x36c Уязвимость функции eem_unwrap() компонента drivers/usb/gadget/function/f_eem.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: most: usb: fix double free on late probe failure The MOST subsystem has a non-standard registration function which frees the interface on registration failures and on deregistration. This unsurprisingly leads to bugs in the MOST drivers, and a couple of recent changes turned a reference underflow and use-after-free in the USB driver into several double free and a use-after-free on late probe failures. Уязвимость компонента drivers/most/most_usb.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: Initialise rcv_mss before calling tcp_send_active_reset() in mptcp_do_fastclose(). syzbot reported divide-by-zero in __tcp_select_window() by MPTCP socket. [0] We had a similar issue for the bare TCP and fixed in commit 499350a5a6e7 ("tcp: initialize rcv_mss to TCP_MIN_MSS instead of 0"). Let's apply the same fix to mptcp_do_fastclose(). [0]: Oops: divide error: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 6068 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 RIP: 0010:__tcp_select_window+0x824/0x1320 net/ipv4/tcp_output.c:3336 Code: ff ff ff 44 89 f1 d3 e0 89 c1 f7 d1 41 01 cc 41 21 c4 e9 a9 00 00 00 e8 ca 49 01 f8 e9 9c 00 00 00 e8 c0 49 01 f8 44 89 e0 99 <f7> 7c 24 1c 41 29 d4 48 bb 00 00 00 00 00 fc ff df e9 80 00 00 00 RSP: 0018:ffffc90003017640 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffff88807b469e40 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffc90003017730 R08: ffff888033268143 R09: 1ffff1100664d028 R10: dffffc0000000000 R11: ffffed100664d029 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 000055557faa0500(0000) GS:ffff888126135000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f64a1912ff8 CR3: 0000000072122000 CR4: 00000000003526f0 Call Trace: <TASK> tcp_select_window net/ipv4/tcp_output.c:281 [inline] __tcp_transmit_skb+0xbc7/0x3aa0 net/ipv4/tcp_output.c:1568 tcp_transmit_skb net/ipv4/tcp_output.c:1649 [inline] tcp_send_active_reset+0x2d1/0x5b0 net/ipv4/tcp_output.c:3836 mptcp_do_fastclose+0x27e/0x380 net/mptcp/protocol.c:2793 mptcp_disconnect+0x238/0x710 net/mptcp/protocol.c:3253 mptcp_sendmsg_fastopen+0x2f8/0x580 net/mptcp/protocol.c:1776 mptcp_sendmsg+0x1774/0x1980 net/mptcp/protocol.c:1855 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg+0xe5/0x270 net/socket.c:742 __sys_sendto+0x3bd/0x520 net/socket.c:2244 __do_sys_sendto net/socket.c:2251 [inline] __se_sys_sendto net/socket.c:2247 [inline] __x64_sys_sendto+0xde/0x100 net/socket.c:2247 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f66e998f749 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffff9acedb8 EFLAGS: 00000246 ORIG_RAX: 000000000000002c RAX: ffffffffffffffda RBX: 00007f66e9be5fa0 RCX: 00007f66e998f749 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000003 RBP: 00007ffff9acee10 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000001 R13: 00007f66e9be5fa0 R14: 00007f66e9be5fa0 R15: 0000000000000006 </TASK> Уязвимость функции mptcp_do_fastclose() модуля net/mptcp/protocol.c ядра операционной системы Linux связана с отсутствием инициализации ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix memory leak in cifs_construct_tcon() When having a multiuser mount with domain= specified and using cifscreds, cifs_set_cifscreds() will end up setting @ctx->domainname, so it needs to be freed before leaving cifs_construct_tcon(). This fixes the following memory leak reported by kmemleak: mount.cifs //srv/share /mnt -o domain=ZELDA,multiuser,... su - testuser cifscreds add -d ZELDA -u testuser ... ls /mnt/1 ... umount /mnt echo scan > /sys/kernel/debug/kmemleak cat /sys/kernel/debug/kmemleak unreferenced object 0xffff8881203c3f08 (size 8): comm "ls", pid 5060, jiffies 4307222943 hex dump (first 8 bytes): 5a 45 4c 44 41 00 cc cc ZELDA... backtrace (crc d109a8cf): __kmalloc_node_track_caller_noprof+0x572/0x710 kstrdup+0x3a/0x70 cifs_sb_tlink+0x1209/0x1770 [cifs] cifs_get_fattr+0xe1/0xf50 [cifs] cifs_get_inode_info+0xb5/0x240 [cifs] cifs_revalidate_dentry_attr+0x2d1/0x470 [cifs] cifs_getattr+0x28e/0x450 [cifs] vfs_getattr_nosec+0x126/0x180 vfs_statx+0xf6/0x220 do_statx+0xab/0x110 __x64_sys_statx+0xd5/0x130 do_syscall_64+0xbb/0x380 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции cifs_construct_tcon() компонента fs/smb/client/connect.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: atlantic: fix fragment overflow handling in RX path The atlantic driver can receive packets with more than MAX_SKB_FRAGS (17) fragments when handling large multi-descriptor packets. This causes an out-of-bounds write in skb_add_rx_frag_netmem() leading to kernel panic. The issue occurs because the driver doesn't check the total number of fragments before calling skb_add_rx_frag(). When a packet requires more than MAX_SKB_FRAGS fragments, the fragment index exceeds the array bounds. Fix by assuming there will be an extra frag if buff->len > AQ_CFG_RX_HDR_SIZE, then all fragments are accounted for. And reusing the existing check to prevent the overflow earlier in the code path. This crash occurred in production with an Aquantia AQC113 10G NIC. Stack trace from production environment: ``` RIP: 0010:skb_add_rx_frag_netmem+0x29/0xd0 Code: 90 f3 0f 1e fa 0f 1f 44 00 00 48 89 f8 41 89 ca 48 89 d7 48 63 ce 8b 90 c0 00 00 00 48 c1 e1 04 48 01 ca 48 03 90 c8 00 00 00 <48> 89 7a 30 44 89 52 3c 44 89 42 38 40 f6 c7 01 75 74 48 89 fa 83 RSP: 0018:ffffa9bec02a8d50 EFLAGS: 00010287 RAX: ffff925b22e80a00 RBX: ffff925ad38d2700 RCX: fffffffe0a0c8000 RDX: ffff9258ea95bac0 RSI: ffff925ae0a0c800 RDI: 0000000000037a40 RBP: 0000000000000024 R08: 0000000000000000 R09: 0000000000000021 R10: 0000000000000848 R11: 0000000000000000 R12: ffffa9bec02a8e24 R13: ffff925ad8615570 R14: 0000000000000000 R15: ffff925b22e80a00 FS: 0000000000000000(0000) GS:ffff925e47880000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffff9258ea95baf0 CR3: 0000000166022004 CR4: 0000000000f72ef0 PKRU: 55555554 Call Trace: <IRQ> aq_ring_rx_clean+0x175/0xe60 [atlantic] ? aq_ring_rx_clean+0x14d/0xe60 [atlantic] ? aq_ring_tx_clean+0xdf/0x190 [atlantic] ? kmem_cache_free+0x348/0x450 ? aq_vec_poll+0x81/0x1d0 [atlantic] ? __napi_poll+0x28/0x1c0 ? net_rx_action+0x337/0x420 ``` Changes in v4: - Add Fixes: tag to satisfy patch validation requirements. Changes in v3: - Fix by assuming there will be an extra frag if buff->len > AQ_CFG_RX_HDR_SIZE, then all fragments are accounted for. Уязвимость компонента drivers/net/ethernet/aquantia/atlantic ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sxgbe: fix potential NULL dereference in sxgbe_rx() Currently, when skb is null, the driver prints an error and then dereferences skb on the next line. To fix this, let's add a 'break' after the error message to switch to sxgbe_rx_refill(), which is similar to the approach taken by the other drivers in this particular case, e.g. calxeda with xgmac_rx(). Found during a code review. Уязвимость функции sxgbe_rx() компонента drivers/net/ethernet/samsung/sxgbe/sxgbe_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: intel: punit_ipc: fix memory corruption This passes the address of the pointer "&punit_ipcdev" when the intent was to pass the pointer itself "punit_ipcdev" (without the ampersand). This means that the: complete(&ipcdev->cmd_complete); in intel_punit_ioc() will write to a wrong memory address corrupting it. Уязвимость компонента drivers/platform/x86/intel/punit_ipc.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_xmit_callback(): fix handling of failed transmitted URBs The driver lacks the cleanup of failed transfers of URBs. This reduces the number of available URBs per error by 1. This leads to reduced performance and ultimately to a complete stop of the transmission. If the sending of a bulk URB fails do proper cleanup: - increase netdev stats - mark the echo_sbk as free - free the driver's context and do accounting - wake the send queue Уязвимость функции gs_usb_xmit_callback() компонента drivers/net/can/usb/gs_usb.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: kvaser_usb: leaf: Fix potential infinite loop in command parsers The `kvaser_usb_leaf_wait_cmd()` and `kvaser_usb_leaf_read_bulk_callback` functions contain logic to zero-length commands. These commands are used to align data to the USB endpoint's wMaxPacketSize boundary. The driver attempts to skip these placeholders by aligning the buffer position `pos` to the next packet boundary using `round_up()` function. However, if zero-length command is found exactly on a packet boundary (i.e., `pos` is a multiple of wMaxPacketSize, including 0), `round_up` function will return the unchanged value of `pos`. This prevents `pos` to be increased, causing an infinite loop in the parsing logic. This patch fixes this in the function by using `pos + 1` instead. This ensures that even if `pos` is on a boundary, the calculation is based on `pos + 1`, forcing `round_up()` to always return the next aligned boundary. Уязвимость функций kvaser_usb_leaf_wait_cmd(), kvaser_usb_leaf_read_bulk_callback() компонента drivers/net/can/usb/kvaser_usb/kvaser_usb_leaf.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/pci: Avoid deadlock between PCI error recovery and mlx5 crdump Do not block PCI config accesses through pci_cfg_access_lock() when executing the s390 variant of PCI error recovery: Acquire just device_lock() instead of pci_dev_lock() as powerpc's EEH and generig PCI AER processing do. During error recovery testing a pair of tasks was reported to be hung: mlx5_core 0000:00:00.1: mlx5_health_try_recover:338:(pid 5553): health recovery flow aborted, PCI reads still not working INFO: task kmcheck:72 blocked for more than 122 seconds. Not tainted 5.14.0-570.12.1.bringup7.el9.s390x #1 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:kmcheck state:D stack:0 pid:72 tgid:72 ppid:2 flags:0x00000000 Call Trace: [<000000065256f030>] __schedule+0x2a0/0x590 [<000000065256f356>] schedule+0x36/0xe0 [<000000065256f572>] schedule_preempt_disabled+0x22/0x30 [<0000000652570a94>] __mutex_lock.constprop.0+0x484/0x8a8 [<000003ff800673a4>] mlx5_unload_one+0x34/0x58 [mlx5_core] [<000003ff8006745c>] mlx5_pci_err_detected+0x94/0x140 [mlx5_core] [<0000000652556c5a>] zpci_event_attempt_error_recovery+0xf2/0x398 [<0000000651b9184a>] __zpci_event_error+0x23a/0x2c0 INFO: task kworker/u1664:6:1514 blocked for more than 122 seconds. Not tainted 5.14.0-570.12.1.bringup7.el9.s390x #1 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:kworker/u1664:6 state:D stack:0 pid:1514 tgid:1514 ppid:2 flags:0x00000000 Workqueue: mlx5_health0000:00:00.0 mlx5_fw_fatal_reporter_err_work [mlx5_core] Call Trace: [<000000065256f030>] __schedule+0x2a0/0x590 [<000000065256f356>] schedule+0x36/0xe0 [<0000000652172e28>] pci_wait_cfg+0x80/0xe8 [<0000000652172f94>] pci_cfg_access_lock+0x74/0x88 [<000003ff800916b6>] mlx5_vsc_gw_lock+0x36/0x178 [mlx5_core] [<000003ff80098824>] mlx5_crdump_collect+0x34/0x1c8 [mlx5_core] [<000003ff80074b62>] mlx5_fw_fatal_reporter_dump+0x6a/0xe8 [mlx5_core] [<0000000652512242>] devlink_health_do_dump.part.0+0x82/0x168 [<0000000652513212>] devlink_health_report+0x19a/0x230 [<000003ff80075a12>] mlx5_fw_fatal_reporter_err_work+0xba/0x1b0 [mlx5_core] No kernel log of the exact same error with an upstream kernel is available - but the very same deadlock situation can be constructed there, too: - task: kmcheck mlx5_unload_one() tries to acquire devlink lock while the PCI error recovery code has set pdev->block_cfg_access by way of pci_cfg_access_lock() - task: kworker mlx5_crdump_collect() tries to set block_cfg_access through pci_cfg_access_lock() while devlink_health_report() had acquired the devlink lock. A similar deadlock situation can be reproduced by requesting a crdump with > devlink health dump show pci/<BDF> reporter fw_fatal while PCI error recovery is executed on the same <BDF> physical function by mlx5_core's pci_error_handlers. On s390 this can be injected with > zpcictl --reset-fw <BDF> Tests with this patch failed to reproduce that second deadlock situation, the devlink command is rejected with "kernel answers: Permission denied" - and we get a kernel log message of: mlx5_core 1ed0:00:00.1: mlx5_crdump_collect:50:(pid 254382): crdump: failed to lock vsc gw err -5 because the config read of VSC_SEMAPHORE is rejected by the underlying hardware. Two prior attempts to address this issue have been discussed and ultimately rejected [see link], with the primary argument that s390's implementation of PCI error recovery is imposing restrictions that neither powerpc's EEH nor PCI AER handling need. Tests show that PCI error recovery on s390 is running to completion even without blocking access to PCI config space. Уязвимость компонента arch/s390/pci ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usbnet: Prevents free active kevent The root cause of this issue are: 1. When probing the usbnet device, executing usbnet_link_change(dev, 0, 0); put the kevent work in global workqueue. However, the kevent has not yet been scheduled when the usbnet device is unregistered. Therefore, executing free_netdev() results in the "free active object (kevent)" error reported here. 2. Another factor is that when calling usbnet_disconnect()->unregister_netdev(), if the usbnet device is up, ndo_stop() is executed to cancel the kevent. However, because the device is not up, ndo_stop() is not executed. The solution to this problem is to cancel the kevent before executing free_netdev(). Уязвимость компонента drivers/net/usb/usbnet.c ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: page_pool: always add GFP_NOWARN for ATOMIC allocations Driver authors often forget to add GFP_NOWARN for page allocation from the datapath. This is annoying to users as OOMs are a fact of life, and we pretty much expect network Rx to hit page allocation failures during OOM. Make page pool add GFP_NOWARN for ATOMIC allocations by default. Уязвимость функции __page_pool_alloc_netmems_slow() модуля net/core/page_pool.c поддержки сетевых функций ядра операционной системы Linux связана с недостатками обработки ошибочных ситуаций. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: renesas_usbhs: Fix synchronous external abort on unbind A synchronous external abort occurs on the Renesas RZ/G3S SoC if unbind is executed after the configuration sequence described above: modprobe usb_f_ecm modprobe libcomposite modprobe configfs cd /sys/kernel/config/usb_gadget mkdir -p g1 cd g1 echo "0x1d6b" > idVendor echo "0x0104" > idProduct mkdir -p strings/0x409 echo "0123456789" > strings/0x409/serialnumber echo "Renesas." > strings/0x409/manufacturer echo "Ethernet Gadget" > strings/0x409/product mkdir -p functions/ecm.usb0 mkdir -p configs/c.1 mkdir -p configs/c.1/strings/0x409 echo "ECM" > configs/c.1/strings/0x409/configuration if [ ! -L configs/c.1/ecm.usb0 ]; then ln -s functions/ecm.usb0 configs/c.1 fi echo 11e20000.usb > UDC echo 11e20000.usb > /sys/bus/platform/drivers/renesas_usbhs/unbind The displayed trace is as follows: Internal error: synchronous external abort: 0000000096000010 [#1] SMP CPU: 0 UID: 0 PID: 188 Comm: sh Tainted: G M 6.17.0-rc7-next-20250922-00010-g41050493b2bd #55 PREEMPT Tainted: [M]=MACHINE_CHECK Hardware name: Renesas SMARC EVK version 2 based on r9a08g045s33 (DT) pstate: 604000c5 (nZCv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : usbhs_sys_function_pullup+0x10/0x40 [renesas_usbhs] lr : usbhsg_update_pullup+0x3c/0x68 [renesas_usbhs] sp : ffff8000838b3920 x29: ffff8000838b3920 x28: ffff00000d585780 x27: 0000000000000000 x26: 0000000000000000 x25: 0000000000000000 x24: ffff00000c3e3810 x23: ffff00000d5e5c80 x22: ffff00000d5e5d40 x21: 0000000000000000 x20: 0000000000000000 x19: ffff00000d5e5c80 x18: 0000000000000020 x17: 2e30303230316531 x16: 312d7968703a7968 x15: 3d454d414e5f4344 x14: 000000000000002c x13: 0000000000000000 x12: 0000000000000000 x11: ffff00000f358f38 x10: ffff00000f358db0 x9 : ffff00000b41f418 x8 : 0101010101010101 x7 : 7f7f7f7f7f7f7f7f x6 : fefefeff6364626d x5 : 8080808000000000 x4 : 000000004b5ccb9d x3 : 0000000000000000 x2 : 0000000000000000 x1 : ffff800083790000 x0 : ffff00000d5e5c80 Call trace: usbhs_sys_function_pullup+0x10/0x40 [renesas_usbhs] (P) usbhsg_pullup+0x4c/0x7c [renesas_usbhs] usb_gadget_disconnect_locked+0x48/0xd4 gadget_unbind_driver+0x44/0x114 device_remove+0x4c/0x80 device_release_driver_internal+0x1c8/0x224 device_release_driver+0x18/0x24 bus_remove_device+0xcc/0x10c device_del+0x14c/0x404 usb_del_gadget+0x88/0xc0 usb_del_gadget_udc+0x18/0x30 usbhs_mod_gadget_remove+0x24/0x44 [renesas_usbhs] usbhs_mod_remove+0x20/0x30 [renesas_usbhs] usbhs_remove+0x98/0xdc [renesas_usbhs] platform_remove+0x20/0x30 device_remove+0x4c/0x80 device_release_driver_internal+0x1c8/0x224 device_driver_detach+0x18/0x24 unbind_store+0xb4/0xb8 drv_attr_store+0x24/0x38 sysfs_kf_write+0x7c/0x94 kernfs_fop_write_iter+0x128/0x1b8 vfs_write+0x2ac/0x350 ksys_write+0x68/0xfc __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x110 el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x34/0xf0 el0t_64_sync_handler+0xa0/0xe4 el0t_64_sync+0x198/0x19c Code: 7100003f 1a9f07e1 531c6c22 f9400001 (79400021) ---[ end trace 0000000000000000 ]--- note: sh[188] exited with irqs disabled note: sh[188] exited with preempt_count 1 The issue occurs because usbhs_sys_function_pullup(), which accesses the IP registers, is executed after the USBHS clocks have been disabled. The problem is reproducible on the Renesas RZ/G3S SoC starting with the addition of module stop in the clock enable/disable APIs. With module stop functionality enabled, a bus error is expected if a master accesses a module whose clock has been stopped and module stop activated. Disable the IP clocks at the end of remove. Уязвимость компонента drivers/usb/renesas_usbhs ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: stratix10-svc: fix bug in saving controller data Fix the incorrect usage of platform_set_drvdata and dev_set_drvdata. They both are of the same data and overrides each other. This resulted in the rmmod of the svc driver to fail and throw a kernel panic for kthread_stop and fifo free. Уязвимость компонента drivers/firmware/stratix10-svc.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: accel: bmc150: Fix irq assumption regression The code in bmc150-accel-core.c unconditionally calls bmc150_accel_set_interrupt() in the iio_buffer_setup_ops, such as on the runtime PM resume path giving a kernel splat like this if the device has no interrupts: Unable to handle kernel NULL pointer dereference at virtual address 00000001 when read PC is at bmc150_accel_set_interrupt+0x98/0x194 LR is at __pm_runtime_resume+0x5c/0x64 (...) Call trace: bmc150_accel_set_interrupt from bmc150_accel_buffer_postenable+0x40/0x108 bmc150_accel_buffer_postenable from __iio_update_buffers+0xbe0/0xcbc __iio_update_buffers from enable_store+0x84/0xc8 enable_store from kernfs_fop_write_iter+0x154/0x1b4 This bug seems to have been in the driver since the beginning, but it only manifests recently, I do not know why. Store the IRQ number in the state struct, as this is a common pattern in other drivers, then use this to determine if we have IRQ support or not. Уязвимость компонента drivers/iio/accel ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: uas: fix urb unmapping issue when the uas device is remove during ongoing data transfer When a UAS device is unplugged during data transfer, there is a probability of a system panic occurring. The root cause is an access to an invalid memory address during URB callback handling. Specifically, this happens when the dma_direct_unmap_sg() function is called within the usb_hcd_unmap_urb_for_dma() interface, but the sg->dma_address field is 0 and the sg data structure has already been freed. The SCSI driver sends transfer commands by invoking uas_queuecommand_lck() in uas.c, using the uas_submit_urbs() function to submit requests to USB. Within the uas_submit_urbs() implementation, three URBs (sense_urb, data_urb, and cmd_urb) are sequentially submitted. Device removal may occur at any point during uas_submit_urbs execution, which may result in URB submission failure. However, some URBs might have been successfully submitted before the failure, and uas_submit_urbs will return the -ENODEV error code in this case. The current error handling directly calls scsi_done(). In the SCSI driver, this eventually triggers scsi_complete() to invoke scsi_end_request() for releasing the sgtable. The successfully submitted URBs, when being unlinked to giveback, call usb_hcd_unmap_urb_for_dma() in hcd.c, leading to exceptions during sg unmapping operations since the sg data structure has already been freed. This patch modifies the error condition check in the uas_submit_urbs() function. When a UAS device is removed but one or more URBs have already been successfully submitted to USB, it avoids immediately invoking scsi_done() and save the cmnd to devinfo->cmnd array. If the successfully submitted URBs is completed before devinfo->resetting being set, then the scsi_done() function will be called within uas_try_complete() after all pending URB operations are finalized. Otherwise, the scsi_done() function will be called within uas_zap_pending(), which is executed after usb_kill_anchored_urbs(). The error handling only takes effect when uas_queuecommand_lck() calls uas_submit_urbs() and returns the error value -ENODEV . In this case, the device is disconnected, and the flow proceeds to uas_disconnect(), where uas_zap_pending() is invoked to call uas_try_complete(). Уязвимость компонента drivers/usb/storage/uas.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: c6xdigio: Fix invalid PNP driver unregistration The Comedi low-level driver "c6xdigio" seems to be for a parallel port connected device. When the Comedi core calls the driver's Comedi "attach" handler `c6xdigio_attach()` to configure a Comedi to use this driver, it tries to enable the parallel port PNP resources by registering a PNP driver with `pnp_register_driver()`, but ignores the return value. (The `struct pnp_driver` it uses has only the `name` and `id_table` members filled in.) The driver's Comedi "detach" handler `c6xdigio_detach()` unconditionally unregisters the PNP driver with `pnp_unregister_driver()`. It is possible for `c6xdigio_attach()` to return an error before it calls `pnp_register_driver()` and it is possible for the call to `pnp_register_driver()` to return an error (that is ignored). In both cases, the driver should not be calling `pnp_unregister_driver()` as it does in `c6xdigio_detach()`. (Note that `c6xdigio_detach()` will be called by the Comedi core if `c6xdigio_attach()` returns an error, or if the Comedi core decides to detach the Comedi device from the driver for some other reason.) The unconditional call to `pnp_unregister_driver()` without a previous successful call to `pnp_register_driver()` will cause `driver_unregister()` to issue a warning "Unexpected driver unregister!". This was detected by Syzbot [1]. Also, the PNP driver registration and unregistration should be done at module init and exit time, respectively, not when attaching or detaching Comedi devices to the driver. (There might be more than one Comedi device being attached to the driver, although that is unlikely.) Change the driver to do the PNP driver registration at module init time, and the unregistration at module exit time. Since `c6xdigio_detach()` now only calls `comedi_legacy_detach()`, remove the function and change the Comedi driver "detach" handler to `comedi_legacy_detach`. ------------------------------------------- [1] Syzbot sample crash report: Unexpected driver unregister! WARNING: CPU: 0 PID: 5970 at drivers/base/driver.c:273 driver_unregister drivers/base/driver.c:273 [inline] WARNING: CPU: 0 PID: 5970 at drivers/base/driver.c:273 driver_unregister+0x90/0xb0 drivers/base/driver.c:270 Modules linked in: CPU: 0 UID: 0 PID: 5970 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 RIP: 0010:driver_unregister drivers/base/driver.c:273 [inline] RIP: 0010:driver_unregister+0x90/0xb0 drivers/base/driver.c:270 Code: 48 89 ef e8 c2 e6 82 fc 48 89 df e8 3a 93 ff ff 5b 5d e9 c3 6d d9 fb e8 be 6d d9 fb 90 48 c7 c7 e0 f8 1f 8c e8 51 a2 97 fb 90 <0f> 0b 90 90 5b 5d e9 a5 6d d9 fb e8 e0 f4 41 fc eb 94 e8 d9 f4 41 RSP: 0018:ffffc9000373f9a0 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffffffff8ff24720 RCX: ffffffff817b6ee8 RDX: ffff88807c932480 RSI: ffffffff817b6ef5 RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000001 R12: ffffffff8ff24660 R13: dffffc0000000000 R14: 0000000000000000 R15: ffff88814cca0000 FS: 000055556dab1500(0000) GS:ffff8881249d9000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055f77f285cd0 CR3: 000000007d871000 CR4: 00000000003526f0 Call Trace: <TASK> comedi_device_detach_locked+0x12f/0xa50 drivers/comedi/drivers.c:207 comedi_device_detach+0x67/0xb0 drivers/comedi/drivers.c:215 comedi_device_attach+0x43d/0x900 drivers/comedi/drivers.c:1011 do_devconfig_ioctl+0x1b1/0x710 drivers/comedi/comedi_fops.c:872 comedi_unlocked_ioctl+0x165d/0x2f00 drivers/comedi/comedi_fops.c:2178 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl fs/ioctl.c:583 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_sys ---truncated--- Уязвимость компонента drivers/comedi/drivers/c6xdigio.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: pcl818: fix null-ptr-deref in pcl818_ai_cancel() Syzbot identified an issue [1] in pcl818_ai_cancel(), which stems from the fact that in case of early device detach via pcl818_detach(), subdevice dev->read_subdev may not have initialized its pointer to &struct comedi_async as intended. Thus, any such dereferencing of &s->async->cmd will lead to general protection fault and kernel crash. Mitigate this problem by removing a call to pcl818_ai_cancel() from pcl818_detach() altogether. This way, if the subdevice setups its support for async commands, everything async-related will be handled via subdevice's own ->cancel() function in comedi_device_detach_locked() even before pcl818_detach(). If no support for asynchronous commands is provided, there is no need to cancel anything either. [1] Syzbot crash: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000005: 0000 [#1] SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000028-0x000000000000002f] CPU: 1 UID: 0 PID: 6050 Comm: syz.0.18 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 RIP: 0010:pcl818_ai_cancel+0x69/0x3f0 drivers/comedi/drivers/pcl818.c:762 ... Call Trace: <TASK> pcl818_detach+0x66/0xd0 drivers/comedi/drivers/pcl818.c:1115 comedi_device_detach_locked+0x178/0x750 drivers/comedi/drivers.c:207 do_devconfig_ioctl drivers/comedi/comedi_fops.c:848 [inline] comedi_unlocked_ioctl+0xcde/0x1020 drivers/comedi/comedi_fops.c:2178 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] ... Уязвимость функции pcl818_detach() модуля drivers/comedi/drivers/pcl818.c поддержки устройств сбора данных ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: locking/spinlock/debug: Fix data-race in do_raw_write_lock KCSAN reports: BUG: KCSAN: data-race in do_raw_write_lock / do_raw_write_lock write (marked) to 0xffff800009cf504c of 4 bytes by task 1102 on cpu 1: do_raw_write_lock+0x120/0x204 _raw_write_lock_irq do_exit call_usermodehelper_exec_async ret_from_fork read to 0xffff800009cf504c of 4 bytes by task 1103 on cpu 0: do_raw_write_lock+0x88/0x204 _raw_write_lock_irq do_exit call_usermodehelper_exec_async ret_from_fork value changed: 0xffffffff -> 0x00000001 Reported by Kernel Concurrency Sanitizer on: CPU: 0 PID: 1103 Comm: kworker/u4:1 6.1.111 Commit 1a365e822372 ("locking/spinlock/debug: Fix various data races") has adressed most of these races, but seems to be not consistent/not complete. >From do_raw_write_lock() only debug_write_lock_after() part has been converted to WRITE_ONCE(), but not debug_write_lock_before() part. Do it now. Уязвимость функции do_raw_write_lock() компонента kernel/locking/spinlock_debug.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jbd2: avoid bug_on in jbd2_journal_get_create_access() when file system corrupted There's issue when file system corrupted: ------------[ cut here ]------------ kernel BUG at fs/jbd2/transaction.c:1289! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 5 UID: 0 PID: 2031 Comm: mkdir Not tainted 6.18.0-rc1-next RIP: 0010:jbd2_journal_get_create_access+0x3b6/0x4d0 RSP: 0018:ffff888117aafa30 EFLAGS: 00010202 RAX: 0000000000000000 RBX: ffff88811a86b000 RCX: ffffffff89a63534 RDX: 1ffff110200ec602 RSI: 0000000000000004 RDI: ffff888100763010 RBP: ffff888100763000 R08: 0000000000000001 R09: ffff888100763028 R10: 0000000000000003 R11: 0000000000000000 R12: 0000000000000000 R13: ffff88812c432000 R14: ffff88812c608000 R15: ffff888120bfc000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f91d6970c99 CR3: 00000001159c4000 CR4: 00000000000006f0 Call Trace: <TASK> __ext4_journal_get_create_access+0x42/0x170 ext4_getblk+0x319/0x6f0 ext4_bread+0x11/0x100 ext4_append+0x1e6/0x4a0 ext4_init_new_dir+0x145/0x1d0 ext4_mkdir+0x326/0x920 vfs_mkdir+0x45c/0x740 do_mkdirat+0x234/0x2f0 __x64_sys_mkdir+0xd6/0x120 do_syscall_64+0x5f/0xfa0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The above issue occurs with us in errors=continue mode when accompanied by storage failures. There have been many inconsistencies in the file system data. In the case of file system data inconsistency, for example, if the block bitmap of a referenced block is not set, it can lead to the situation where a block being committed is allocated and used again. As a result, the following condition will not be satisfied then trigger BUG_ON. Of course, it is entirely possible to construct a problematic image that can trigger this BUG_ON through specific operations. In fact, I have constructed such an image and easily reproduced this issue. Therefore, J_ASSERT() holds true only under ideal conditions, but it may not necessarily be satisfied in exceptional scenarios. Using J_ASSERT() directly in abnormal situations would cause the system to crash, which is clearly not what we want. So here we directly trigger a JBD abort instead of immediately invoking BUG_ON. Уязвимость функции jbd2_journal_get_create_access() компонента fs/jbd2/transaction.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm/fore200e: Fix possible data race in fore200e_open() Protect access to fore200e->available_cell_rate with rate_mtx lock in the error handling path of fore200e_open() to prevent a data race. The field fore200e->available_cell_rate is a shared resource used to track available bandwidth. It is concurrently accessed by fore200e_open(), fore200e_close(), and fore200e_change_qos(). In fore200e_open(), the lock rate_mtx is correctly held when subtracting vcc->qos.txtp.max_pcr from available_cell_rate to reserve bandwidth. However, if the subsequent call to fore200e_activate_vcin() fails, the function restores the reserved bandwidth by adding back to available_cell_rate without holding the lock. This introduces a race condition because available_cell_rate is a global device resource shared across all VCCs. If the error path in fore200e_open() executes concurrently with operations like fore200e_close() or fore200e_change_qos() on other VCCs, a read-modify-write race occurs. Specifically, the error path reads the rate without the lock. If another CPU acquires the lock and modifies the rate (e.g., releasing bandwidth in fore200e_close()) between this read and the subsequent write, the error path will overwrite the concurrent update with a stale value. This results in incorrect bandwidth accounting. Уязвимость функции fore200e_open() компонента drivers/atm/fore200e.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: team: Move team device type change at the end of team_port_add Attempting to add a port device that is already up will expectedly fail, but not before modifying the team device header_ops. In the case of the syzbot reproducer the gre0 device is already in state UP when it attempts to add it as a port device of team0, this fails but before that header_ops->create of team0 is changed from eth_header to ipgre_header in the call to team_dev_type_check_change. Later when we end up in ipgre_header() struct ip_tunnel* points to nonsense as the private data of the device still holds a struct team. Example sequence of iproute2 commands to reproduce the hang/BUG(): ip link add dev team0 type team ip link add dev gre0 type gre ip link set dev gre0 up ip link set dev gre0 master team0 ip link set dev team0 up ping -I team0 1.1.1.1 Move team_dev_type_check_change down where all other checks have passed as it changes the dev type with no way to restore it in case one of the checks that follow it fail. Also make sure to preserve the origial mtu assignment: - If port_dev is not the same type as dev, dev takes mtu from port_dev - If port_dev is the same type as dev, port_dev takes mtu from dev This is done by adding a conditional before the call to dev_set_mtu to prevent it from assigning port_dev->mtu = dev->mtu and instead letting team_dev_type_check_change assign dev->mtu = port_dev->mtu. The conditional is needed because the patch moves the call to team_dev_type_check_change past dev_set_mtu. Testing: - team device driver in-tree selftests - Add/remove various devices as slaves of team device - syzbot Уязвимость компонента drivers/net/team ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_receive_bulk_callback(): check actual_length before accessing header The driver expects to receive a struct gs_host_frame in gs_usb_receive_bulk_callback(). Use struct_group to describe the header of the struct gs_host_frame and check that we have at least received the header before accessing any members of it. To resubmit the URB, do not dereference the pointer chain "dev->parent->hf_size_rx" but use "parent->hf_size_rx" instead. Since "urb->context" contains "parent", it is always defined, while "dev" is not defined if the URB it too short. Уязвимость компонента drivers/net/can/usb/gs_usb.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: wavefront: Fix integer overflow in sample size validation The wavefront_send_sample() function has an integer overflow issue when validating sample size. The header->size field is u32 but gets cast to int for comparison with dev->freemem Fix by using unsigned comparison to avoid integer overflow. Уязвимость функции wavefront_send_sample () модуля sound/isa/wavefront/wavefront_synth.c звуковой подсистемы ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda: cs35l41: Fix NULL pointer dereference in cs35l41_hda_read_acpi() The acpi_get_first_physical_node() function can return NULL, in which case the get_device() function also returns NULL, but this value is then dereferenced without checking,so add a check to prevent a crash. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции cs35l41_hda_read_acpi() модуля sound/hda/codecs/side-codecs/cs35l41_hda.c звуковой подсистемы ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: dice: fix buffer overflow in detect_stream_formats() The function detect_stream_formats() reads the stream_count value directly from a FireWire device without validating it. This can lead to out-of-bounds writes when a malicious device provides a stream_count value greater than MAX_STREAMS. Fix by applying the same validation to both TX and RX stream counts in detect_stream_formats(). Уязвимость функции detect_stream_formats() модуля sound/firewire/dice/dice-extension.c звуковой подсистемы ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: firewire-motu: fix buffer overflow in hwdep read for DSP events The DSP event handling code in hwdep_read() could write more bytes to the user buffer than requested, when a user provides a buffer smaller than the event header size (8 bytes). Fix by using min_t() to clamp the copy size, This ensures we never copy more than the user requested. Уязвимость функции hwdep_read() модуля sound/firewire/motu/motu-hwdep.c звуковой подсистемы ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSv4/pNFS: Clear NFS_INO_LAYOUTCOMMIT in pnfs_mark_layout_stateid_invalid Fixes a crash when layout is null during this call stack: write_inode -> nfs4_write_inode -> pnfs_layoutcommit_inode pnfs_set_layoutcommit relies on the lseg refcount to keep the layout around. Need to clear NFS_INO_LAYOUTCOMMIT otherwise we might attempt to reference a null layout. Уязвимость функции pnfs_mark_layout_stateid_invalid() модуля fs/nfs/pnfs.c поддержки клиентов NFS ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regulator: core: Protect regulator_supply_alias_list with regulator_list_mutex regulator_supply_alias_list was accessed without any locking in regulator_supply_alias(), regulator_register_supply_alias(), and regulator_unregister_supply_alias(). Concurrent registration, unregistration and lookups can race, leading to: 1 use-after-free if an alias entry is removed while being read, 2 duplicate entries when two threads register the same alias, 3 inconsistent alias mappings observed by consumers. Protect all traversals, insertions and deletions on regulator_supply_alias_list with the existing regulator_list_mutex. Уязвимость компонента drivers/regulator/core.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix racy bitfield write in btrfs_clear_space_info_full() From the memory-barriers.txt document regarding memory barrier ordering guarantees: (*) These guarantees do not apply to bitfields, because compilers often generate code to modify these using non-atomic read-modify-write sequences. Do not attempt to use bitfields to synchronize parallel algorithms. (*) Even in cases where bitfields are protected by locks, all fields in a given bitfield must be protected by one lock. If two fields in a given bitfield are protected by different locks, the compiler's non-atomic read-modify-write sequences can cause an update to one field to corrupt the value of an adjacent field. btrfs_space_info has a bitfield sharing an underlying word consisting of the fields full, chunk_alloc, and flush: struct btrfs_space_info { struct btrfs_fs_info * fs_info; /* 0 8 */ struct btrfs_space_info * parent; /* 8 8 */ ... int clamp; /* 172 4 */ unsigned int full:1; /* 176: 0 4 */ unsigned int chunk_alloc:1; /* 176: 1 4 */ unsigned int flush:1; /* 176: 2 4 */ ... Therefore, to be safe from parallel read-modify-writes losing a write to one of the bitfield members protected by a lock, all writes to all the bitfields must use the lock. They almost universally do, except for btrfs_clear_space_info_full() which iterates over the space_infos and writes out found->full = 0 without a lock. Imagine that we have one thread completing a transaction in which we finished deleting a block_group and are thus calling btrfs_clear_space_info_full() while simultaneously the data reclaim ticket infrastructure is running do_async_reclaim_data_space(): T1 T2 btrfs_commit_transaction btrfs_clear_space_info_full data_sinfo->full = 0 READ: full:0, chunk_alloc:0, flush:1 do_async_reclaim_data_space(data_sinfo) spin_lock(&space_info->lock); if(list_empty(tickets)) space_info->flush = 0; READ: full: 0, chunk_alloc:0, flush:1 MOD/WRITE: full: 0, chunk_alloc:0, flush:0 spin_unlock(&space_info->lock); return; MOD/WRITE: full:0, chunk_alloc:0, flush:1 and now data_sinfo->flush is 1 but the reclaim worker has exited. This breaks the invariant that flush is 0 iff there is no work queued or running. Once this invariant is violated, future allocations that go into __reserve_bytes() will add tickets to space_info->tickets but will see space_info->flush is set to 1 and not queue the work. After this, they will block forever on the resulting ticket, as it is now impossible to kick the worker again. I also confirmed by looking at the assembly of the affected kernel that it is doing RMW operations. For example, to set the flush (3rd) bit to 0, the assembly is: andb $0xfb,0x60(%rbx) and similarly for setting the full (1st) bit to 0: andb $0xfe,-0x20(%rax) So I think this is really a bug on practical systems. I have observed a number of systems in this exact state, but am currently unable to reproduce it. Rather than leaving this footgun lying around for the future, take advantage of the fact that there is room in the struct anyway, and that it is already quite large and simply change the three bitfield members to bools. This avoids writes to space_info->full having any effect on ---truncated--- Уязвимость функции btrfs_clear_space_info_full() модуля btrfs ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl818x: rtl8187: Fix potential buffer underflow in rtl8187_rx_cb() The rtl8187_rx_cb() calculates the rx descriptor header address by subtracting its size from the skb tail pointer. However, it does not validate if the received packet (skb->len from urb->actual_length) is large enough to contain this header. If a truncated packet is received, this will lead to a buffer underflow, reading memory before the start of the skb data area, and causing a kernel panic. Add length checks for both rtl8187 and rtl8187b descriptor headers before attempting to access them, dropping the packet cleanly if the check fails. Уязвимость функции rtl8187_rx_cb() модуля drivers/net/wireless/realtek/rtl818x/rtl8187/dev.c драйвера адаптеров беспроводной связи Realtek ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Check skb->transport_header is set in bpf_skb_check_mtu The bpf_skb_check_mtu helper needs to use skb->transport_header when the BPF_MTU_CHK_SEGS flag is used: bpf_skb_check_mtu(skb, ifindex, &mtu_len, 0, BPF_MTU_CHK_SEGS) The transport_header is not always set. There is a WARN_ON_ONCE report when CONFIG_DEBUG_NET is enabled + skb->gso_size is set + bpf_prog_test_run is used: WARNING: CPU: 1 PID: 2216 at ./include/linux/skbuff.h:3071 skb_gso_validate_network_len bpf_skb_check_mtu bpf_prog_3920e25740a41171_tc_chk_segs_flag # A test in the next patch bpf_test_run bpf_prog_test_run_skb For a normal ingress skb (not test_run), skb_reset_transport_header is performed but there is plan to avoid setting it as described in commit 2170a1f09148 ("net: no longer reset transport_header in __netif_receive_skb_core()"). This patch fixes the bpf helper by checking skb_transport_header_was_set(). The check is done just before skb->transport_header is used, to avoid breaking the existing bpf prog. The WARN_ON_ONCE is limited to bpf_prog_test_run, so targeting bpf-next. Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: relax BUG() to ocfs2_error() in __ocfs2_move_extent() In '__ocfs2_move_extent()', relax 'BUG()' to 'ocfs2_error()' just to avoid crashing the whole kernel due to a filesystem corruption. Уязвимость функции __ocfs2_move_extent() модуля fs/ocfs2/move_extents.c файловой системы OCFS2 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Initialize allocated memory before use KMSAN reports: Multiple uninitialized values detected: - KMSAN: uninit-value in ntfs_read_hdr (3) - KMSAN: uninit-value in bcmp (3) Memory is allocated by __getname(), which is a wrapper for kmem_cache_alloc(). This memory is used before being properly cleared. Change kmem_cache_alloc() to kmem_cache_zalloc() to properly allocate and clear memory before use. Уязвимость компонента fs/ntfs3 ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nbd: defer config unlock in nbd_genl_connect There is one use-after-free warning when running NBD_CMD_CONNECT and NBD_CLEAR_SOCK: nbd_genl_connect nbd_alloc_and_init_config // config_refs=1 nbd_start_device // config_refs=2 set NBD_RT_HAS_CONFIG_REF open nbd // config_refs=3 recv_work done // config_refs=2 NBD_CLEAR_SOCK // config_refs=1 close nbd // config_refs=0 refcount_inc -> uaf ------------[ cut here ]------------ refcount_t: addition on 0; use-after-free. WARNING: CPU: 24 PID: 1014 at lib/refcount.c:25 refcount_warn_saturate+0x12e/0x290 nbd_genl_connect+0x16d0/0x1ab0 genl_family_rcv_msg_doit+0x1f3/0x310 genl_rcv_msg+0x44a/0x790 The issue can be easily reproduced by adding a small delay before refcount_inc(&nbd->config_refs) in nbd_genl_connect(): mutex_unlock(&nbd->config_lock); if (!ret) { set_bit(NBD_RT_HAS_CONFIG_REF, &config->runtime_flags); + printk("before sleep\n"); + mdelay(5 * 1000); + printk("after sleep\n"); refcount_inc(&nbd->config_refs); nbd_connect_reply(info, nbd->index); } Уязвимость функции nbd_genl_connect() модуля drivers/block/nbd.c драйвера блочных устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macintosh/mac_hid: fix race condition in mac_hid_toggle_emumouse The following warning appears when running syzkaller, and this issue also exists in the mainline code. ------------[ cut here ]------------ list_add double add: new=ffffffffa57eee28, prev=ffffffffa57eee28, next=ffffffffa5e63100. WARNING: CPU: 0 PID: 1491 at lib/list_debug.c:35 __list_add_valid_or_report+0xf7/0x130 Modules linked in: CPU: 0 PID: 1491 Comm: syz.1.28 Not tainted 6.6.0+ #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:__list_add_valid_or_report+0xf7/0x130 RSP: 0018:ff1100010dfb7b78 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffffffffa57eee18 RCX: ffffffff97fc9817 RDX: 0000000000040000 RSI: ffa0000002383000 RDI: 0000000000000001 RBP: ffffffffa57eee28 R08: 0000000000000001 R09: ffe21c0021bf6f2c R10: 0000000000000001 R11: 6464615f7473696c R12: ffffffffa5e63100 R13: ffffffffa57eee28 R14: ffffffffa57eee28 R15: ff1100010dfb7d48 FS: 00007fb14398b640(0000) GS:ff11000119600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 000000010d096005 CR4: 0000000000773ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 80000000 Call Trace: <TASK> input_register_handler+0xb3/0x210 mac_hid_start_emulation+0x1c5/0x290 mac_hid_toggle_emumouse+0x20a/0x240 proc_sys_call_handler+0x4c2/0x6e0 new_sync_write+0x1b1/0x2d0 vfs_write+0x709/0x950 ksys_write+0x12a/0x250 do_syscall_64+0x5a/0x110 entry_SYSCALL_64_after_hwframe+0x78/0xe2 The WARNING occurs when two processes concurrently write to the mac-hid emulation sysctl, causing a race condition in mac_hid_toggle_emumouse(). Both processes read old_val=0, then both try to register the input handler, leading to a double list_add of the same handler. CPU0 CPU1 ------------------------- ------------------------- vfs_write() //write 1 vfs_write() //write 1 proc_sys_write() proc_sys_write() mac_hid_toggle_emumouse() mac_hid_toggle_emumouse() old_val = *valp // old_val=0 old_val = *valp // old_val=0 mutex_lock_killable() proc_dointvec() // *valp=1 mac_hid_start_emulation() input_register_handler() mutex_unlock() mutex_lock_killable() proc_dointvec() mac_hid_start_emulation() input_register_handler() //Trigger Warning mutex_unlock() Fix this by moving the old_val read inside the mutex lock region. Уязвимость функции mac_hid_toggle_emumouse() модуля drivers/macintosh/mac_hid.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntfs3: init run lock for extend inode After setting the inode mode of $Extend to a regular file, executing the truncate system call will enter the do_truncate() routine, causing the run_lock uninitialized error reported by syzbot. Prior to patch 4e8011ffec79, if the inode mode of $Extend was not set to a regular file, the do_truncate() routine would not be entered. Add the run_lock initialization when loading $Extend. syzbot reported: INFO: trying to register non-static key. Call Trace: dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 assign_lock_key+0x133/0x150 kernel/locking/lockdep.c:984 register_lock_class+0x105/0x320 kernel/locking/lockdep.c:1299 __lock_acquire+0x99/0xd20 kernel/locking/lockdep.c:5112 lock_acquire+0x120/0x360 kernel/locking/lockdep.c:5868 down_write+0x96/0x1f0 kernel/locking/rwsem.c:1590 ntfs_set_size+0x140/0x200 fs/ntfs3/inode.c:860 ntfs_extend+0x1d9/0x970 fs/ntfs3/file.c:387 ntfs_setattr+0x2e8/0xbe0 fs/ntfs3/file.c:808 Уязвимость функции ntfs_read_mft() ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: smartpqi: Fix device resources accessed after device removal Correct possible race conditions during device removal. Previously, a scheduled work item to reset a LUN could still execute after the device was removed, leading to use-after-free and other resource access issues. This race condition occurs because the abort handler may schedule a LUN reset concurrently with device removal via sdev_destroy(), leading to use-after-free and improper access to freed resources. - Check in the device reset handler if the device is still present in the controller's SCSI device list before running; if not, the reset is skipped. - Cancel any pending TMF work that has not started in sdev_destroy(). - Ensure device freeing in sdev_destroy() is done while holding the LUN reset mutex to avoid races with ongoing resets. Уязвимость компонента drivers/scsi/smartpqi/smartpqi_init.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nbd: defer config put in recv_work There is one uaf issue in recv_work when running NBD_CLEAR_SOCK and NBD_CMD_RECONFIGURE: nbd_genl_connect // conf_ref=2 (connect and recv_work A) nbd_open // conf_ref=3 recv_work A done // conf_ref=2 NBD_CLEAR_SOCK // conf_ref=1 nbd_genl_reconfigure // conf_ref=2 (trigger recv_work B) close nbd // conf_ref=1 recv_work B config_put // conf_ref=0 atomic_dec(&config->recv_threads); -> UAF Or only running NBD_CLEAR_SOCK: nbd_genl_connect // conf_ref=2 nbd_open // conf_ref=3 NBD_CLEAR_SOCK // conf_ref=2 close nbd nbd_release config_put // conf_ref=1 recv_work config_put // conf_ref=0 atomic_dec(&config->recv_threads); -> UAF Commit 87aac3a80af5 ("nbd: call nbd_config_put() before notifying the waiter") moved nbd_config_put() to run before waking up the waiter in recv_work, in order to ensure that nbd_start_device_ioctl() would not be woken up while nbd->task_recv was still uncleared. However, in nbd_start_device_ioctl(), after being woken up it explicitly calls flush_workqueue() to make sure all current works are finished. Therefore, there is no need to move the config put ahead of the wakeup. Move nbd_config_put() to the end of recv_work, so that the reference is held for the whole lifetime of the worker thread. This makes sure the config cannot be freed while recv_work is still running, even if clear + reconfigure interleave. In addition, we don't need to worry about recv_work dropping the last nbd_put (which causes deadlock): path A (netlink with NBD_CFLAG_DESTROY_ON_DISCONNECT): connect // nbd_refs=1 (trigger recv_work) open nbd // nbd_refs=2 NBD_CLEAR_SOCK close nbd nbd_release nbd_disconnect_and_put flush_workqueue // recv_work done nbd_config_put nbd_put // nbd_refs=1 nbd_put // nbd_refs=0 queue_work path B (netlink without NBD_CFLAG_DESTROY_ON_DISCONNECT): connect // nbd_refs=2 (trigger recv_work) open nbd // nbd_refs=3 NBD_CLEAR_SOCK // conf_refs=2 close nbd nbd_release nbd_config_put // conf_refs=1 nbd_put // nbd_refs=2 recv_work done // conf_refs=0, nbd_refs=1 rmmod // nbd_refs=0 Depends-on: e2daec488c57 ("nbd: Fix hungtask when nbd_config_put") Уязвимость функции recv_work() модуля drivers/block/nbd.c драйвера блочных устройств ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix peer HE MCS assignment In ath11k_wmi_send_peer_assoc_cmd(), peer's transmit MCS is sent to firmware as receive MCS while peer's receive MCS sent as transmit MCS, which goes against firmwire's definition. While connecting to a misbehaved AP that advertises 0xffff (meaning not supported) for 160 MHz transmit MCS map, firmware crashes due to 0xffff is assigned to he_mcs->rx_mcs_set field. Ext Tag: HE Capabilities [...] Supported HE-MCS and NSS Set [...] Rx and Tx MCS Maps 160 MHz [...] Tx HE-MCS Map 160 MHz: 0xffff Swap the assignment to fix this issue. As the HE rate control mask is meant to limit our own transmit MCS, it needs to go via he_mcs->rx_mcs_set field. With the aforementioned swapping done, change is needed as well to apply it to the peer's receive MCS. Tested-on: WCN6855 hw2.1 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.41 Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.4.1-00199-QCAHKSWPL_SILICONZ-1 Уязвимость функции ath11k_wmi_send_peer_assoc_cmd() ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: asymmetric_keys - prevent overflow in asymmetric_key_generate_id Use check_add_overflow() to guard against potential integer overflows when adding the binary blob lengths and the size of an asymmetric_key_id structure and return ERR_PTR(-EOVERFLOW) accordingly. This prevents a possible buffer overflow when copying data from potentially malicious X.509 certificate fields that can be arbitrarily large, such as ASN.1 INTEGER serial numbers, issuer names, etc. Уязвимость функции asymmetric_key_generate_id() модуля crypto/asymmetric_keys/asymmetric_type.c криптографической подсистемы ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Do not let BPF test infra emit invalid GSO types to stack Yinhao et al. reported that their fuzzer tool was able to trigger a skb_warn_bad_offload() from netif_skb_features() -> gso_features_check(). When a BPF program - triggered via BPF test infra - pushes the packet to the loopback device via bpf_clone_redirect() then mentioned offload warning can be seen. GSO-related features are then rightfully disabled. We get into this situation due to convert___skb_to_skb() setting gso_segs and gso_size but not gso_type. Technically, it makes sense that this warning triggers since the GSO properties are malformed due to the gso_type. Potentially, the gso_type could be marked non-trustworthy through setting it at least to SKB_GSO_DODGY without any other specific assumptions, but that also feels wrong given we should not go further into the GSO engine in the first place. The checks were added in 121d57af308d ("gso: validate gso_type in GSO handlers") because there were malicious (syzbot) senders that combine a protocol with a non-matching gso_type. If we would want to drop such packets, gso_features_check() currently only returns feature flags via netif_skb_features(), so one location for potentially dropping such skbs could be validate_xmit_unreadable_skb(), but then otoh it would be an additional check in the fast-path for a very corner case. Given bpf_clone_redirect() is the only place where BPF test infra could emit such packets, lets reject them right there. Уязвимость компонента bpf ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntfs3: Fix uninit buffer allocated by __getname() Fix uninit errors caused after buffer allocation given to 'de'; by initializing the buffer with zeroes. The fix was found by using KMSAN. Уязвимость функции ntfs_link_inode() модуля fs/ntfs3/inode.c файловой системы NTFS 3 ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntfs3: fix uninit memory after failed mi_read in mi_format_new Fix a KMSAN un-init bug found by syzkaller. ntfs_get_bh() expects a buffer from sb_getblk(), that buffer may not be uptodate. We do not bring the buffer uptodate before setting it as uptodate. If the buffer were to not be uptodate, it could mean adding a buffer with un-init data to the mi record. Attempting to load that record will trigger KMSAN. Avoid this by setting the buffer as uptodate, if it’s not already, by overwriting it. Уязвимость функции ntfs_get_bh() модуля fs/ntfs3/fsntfs.c файловой системы NTFS 3 ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Уязвимость затрагивает модуль ntfs3 в ядра Linux. 1. Чтобы проверить, загружен ли модуль ntfs3 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ntfs3 ``` или ``` kmod list | grep ntfs3 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, но не используется, то его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ntfs3 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ntfs3 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpu: host1x: Fix race in syncpt alloc/free Fix race condition between host1x_syncpt_alloc() and host1x_syncpt_put() by using kref_put_mutex() instead of kref_put() + manual mutex locking. This ensures no thread can acquire the syncpt_mutex after the refcount drops to zero but before syncpt_release acquires it. This prevents races where syncpoints could be allocated while still being cleaned up from a previous release. Remove explicit mutex locking in syncpt_release as kref_put_mutex() handles this atomically. Уязвимость компонента drivers/gpu/host1x ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smack: fix bug: unprivileged task can create labels If an unprivileged task is allowed to relabel itself (/smack/relabel-self is not empty), it can freely create new labels by writing their names into own /proc/PID/attr/smack/current This occurs because do_setattr() imports the provided label in advance, before checking "relabel-self" list. This change ensures that the "relabel-self" list is checked before importing the label. Уязвимость ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: isdn: mISDN: hfcsusb: fix memory leak in hfcsusb_probe() In hfcsusb_probe(), the memory allocated for ctrl_urb gets leaked when setup_instance() fails with an error code. Fix that by freeing the urb before freeing the hw structure. Also change the error paths to use the goto ladder style. Compile tested only. Issue found using a prototype static analysis tool. Уязвимость функции hfcsusb_probe() компонента drivers/isdn/hardware/mISDN/hfcsusb.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ima: Handle error code returned by ima_filter_rule_match() In ima_match_rules(), if ima_filter_rule_match() returns -ENOENT due to the rule being NULL, the function incorrectly skips the 'if (!rc)' check and sets 'result = true'. The LSM rule is considered a match, causing extra files to be measured by IMA. This issue can be reproduced in the following scenario: After unloading the SELinux policy module via 'semodule -d', if an IMA measurement is triggered before ima_lsm_rules is updated, in ima_match_rules(), the first call to ima_filter_rule_match() returns -ESTALE. This causes the code to enter the 'if (rc == -ESTALE && !rule_reinitialized)' block, perform ima_lsm_copy_rule() and retry. In ima_lsm_copy_rule(), since the SELinux module has been removed, the rule becomes NULL, and the second call to ima_filter_rule_match() returns -ENOENT. This bypasses the 'if (!rc)' check and results in a false match. Call trace: selinux_audit_rule_match+0x310/0x3b8 security_audit_rule_match+0x60/0xa0 ima_match_rules+0x2e4/0x4a0 ima_match_policy+0x9c/0x1e8 ima_get_action+0x48/0x60 process_measurement+0xf8/0xa98 ima_bprm_check+0x98/0xd8 security_bprm_check+0x5c/0x78 search_binary_handler+0x6c/0x318 exec_binprm+0x58/0x1b8 bprm_execve+0xb8/0x130 do_execveat_common.isra.0+0x1a8/0x258 __arm64_sys_execve+0x48/0x68 invoke_syscall+0x50/0x128 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x44/0x200 el0t_64_sync_handler+0x100/0x130 el0t_64_sync+0x3c8/0x3d0 Fix this by changing 'if (!rc)' to 'if (rc <= 0)' to ensure that error codes like -ENOENT do not bypass the check and accidentally result in a successful match. Уязвимость функции ima_match_rules() модуля security/integrity/ima/ima_policy.c подсистемы обеспечения безопасности ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix invalid prog->stats access when update_effective_progs fails Syzkaller triggers an invalid memory access issue following fault injection in update_effective_progs. The issue can be described as follows: __cgroup_bpf_detach update_effective_progs compute_effective_progs bpf_prog_array_alloc <-- fault inject purge_effective_progs /* change to dummy_bpf_prog */ array->items[index] = &dummy_bpf_prog.prog ---softirq start--- __do_softirq ... __cgroup_bpf_run_filter_skb __bpf_prog_run_save_cb bpf_prog_run stats = this_cpu_ptr(prog->stats) /* invalid memory access */ flags = u64_stats_update_begin_irqsave(&stats->syncp) ---softirq end--- static_branch_dec(&cgroup_bpf_enabled_key[atype]) The reason is that fault injection caused update_effective_progs to fail and then changed the original prog into dummy_bpf_prog.prog in purge_effective_progs. Then a softirq came, and accessing the members of dummy_bpf_prog.prog in the softirq triggers invalid mem access. To fix it, skip updating stats when stats is NULL. Уязвимость компонента bpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: tegra210-quad: Fix timeout handling When the CPU that the QSPI interrupt handler runs on (typically CPU 0) is excessively busy, it can lead to rare cases of the IRQ thread not running before the transfer timeout is reached. While handling the timeouts, any pending transfers are cleaned up and the message that they correspond to is marked as failed, which leaves the curr_xfer field pointing at stale memory. To avoid this, clear curr_xfer to NULL upon timeout and check for this condition when the IRQ thread is finally run. While at it, also make sure to clear interrupts on failure so that new interrupts can be run. A better, more involved, fix would move the interrupt clearing into a hard IRQ handler. Ideally we would also want to signal that the IRQ thread no longer needs to be run after the timeout is hit to avoid the extra check for a valid transfer. Уязвимость компонента drivers/spi/spi-tegra210-quad.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: firewire-motu: add bounds check in put_user loop for DSP events In the DSP event handling code, a put_user() loop copies event data. When the user buffer size is not aligned to 4 bytes, it could overwrite beyond the buffer boundary. Fix by adding a bounds check before put_user(). Уязвимость функции put_user() ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vgem-fence: Fix potential deadlock on release A timer that expires a vgem fence automatically in 10 seconds is now released with timer_delete_sync() from fence->ops.release() called on last dma_fence_put(). In some scenarios, it can run in IRQ context, which is not safe unless TIMER_IRQSAFE is used. One potentially risky scenario was demonstrated in Intel DRM CI trybot, BAT run on machine bat-adlp-6, while working on new IGT subtests syncobj_timeline@stress-* as user space replacements of some problematic test cases of a dma-fence-chain selftest [1]. [117.004338] ================================ [117.004340] WARNING: inconsistent lock state [117.004342] 6.17.0-rc7-CI_DRM_17270-g7644974e648c+ #1 Tainted: G S U [117.004346] -------------------------------- [117.004347] inconsistent {HARDIRQ-ON-W} -> {IN-HARDIRQ-W} usage. [117.004349] swapper/0/0 [HC1[1]:SC1[1]:HE0:SE0] takes: [117.004352] ffff888138f86aa8 ((&fence->timer)){?.-.}-{0:0}, at: __timer_delete_sync+0x4b/0x190 [117.004361] {HARDIRQ-ON-W} state was registered at: [117.004363] lock_acquire+0xc4/0x2e0 [117.004366] call_timer_fn+0x80/0x2a0 [117.004368] __run_timers+0x231/0x310 [117.004370] run_timer_softirq+0x76/0xe0 [117.004372] handle_softirqs+0xd4/0x4d0 [117.004375] __irq_exit_rcu+0x13f/0x160 [117.004377] irq_exit_rcu+0xe/0x20 [117.004379] sysvec_apic_timer_interrupt+0xa0/0xc0 [117.004382] asm_sysvec_apic_timer_interrupt+0x1b/0x20 [117.004385] cpuidle_enter_state+0x12b/0x8a0 [117.004388] cpuidle_enter+0x2e/0x50 [117.004393] call_cpuidle+0x22/0x60 [117.004395] do_idle+0x1fd/0x260 [117.004398] cpu_startup_entry+0x29/0x30 [117.004401] start_secondary+0x12d/0x160 [117.004404] common_startup_64+0x13e/0x141 [117.004407] irq event stamp: 2282669 [117.004409] hardirqs last enabled at (2282668): [<ffffffff8289db71>] _raw_spin_unlock_irqrestore+0x51/0x80 [117.004414] hardirqs last disabled at (2282669): [<ffffffff82882021>] sysvec_irq_work+0x11/0xc0 [117.004419] softirqs last enabled at (2254702): [<ffffffff8289fd00>] __do_softirq+0x10/0x18 [117.004423] softirqs last disabled at (2254725): [<ffffffff813d4ddf>] __irq_exit_rcu+0x13f/0x160 [117.004426] other info that might help us debug this: [117.004429] Possible unsafe locking scenario: [117.004432] CPU0 [117.004433] ---- [117.004434] lock((&fence->timer)); [117.004436] <Interrupt> [117.004438] lock((&fence->timer)); [117.004440] *** DEADLOCK *** [117.004443] 1 lock held by swapper/0/0: [117.004445] #0: ffffc90000003d50 ((&fence->timer)){?.-.}-{0:0}, at: call_timer_fn+0x7a/0x2a0 [117.004450] stack backtrace: [117.004453] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Tainted: G S U 6.17.0-rc7-CI_DRM_17270-g7644974e648c+ #1 PREEMPT(voluntary) [117.004455] Tainted: [S]=CPU_OUT_OF_SPEC, [U]=USER [117.004455] Hardware name: Intel Corporation Alder Lake Client Platform/AlderLake-P DDR4 RVP, BIOS RPLPFWI1.R00.4035.A00.2301200723 01/20/2023 [117.004456] Call Trace: [117.004456] <IRQ> [117.004457] dump_stack_lvl+0x91/0xf0 [117.004460] dump_stack+0x10/0x20 [117.004461] print_usage_bug.part.0+0x260/0x360 [117.004463] mark_lock+0x76e/0x9c0 [117.004465] ? register_lock_class+0x48/0x4a0 [117.004467] __lock_acquire+0xbc3/0x2860 [117.004469] lock_acquire+0xc4/0x2e0 [117.004470] ? __timer_delete_sync+0x4b/0x190 [117.004472] ? __timer_delete_sync+0x4b/0x190 [117.004473] __timer_delete_sync+0x68/0x190 [117.004474] ? __timer_delete_sync+0x4b/0x190 [117.004475] timer_delete_sync+0x10/0x20 [117.004476] vgem_fence_release+0x19/0x30 [vgem] [117.004478] dma_fence_release+0xc1/0x3b0 [117.004480] ? dma_fence_release+0xa1/0x3b0 [117.004481] dma_fence_chain_release+0xe7/0x130 [117.004483] dma_fence_release+0xc1/0x3b0 [117.004484] ? _raw_spin_unlock_irqrestore+0x27/0x80 [117.004485] dma_fence_chain_irq_work+0x59/0x80 [117.004487] irq_work_single+0x75/0xa0 [117.004490] irq_work_r ---truncated--- Уязвимость функции timer_delete_sync() ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: backlight: led-bl: Add devlink to supplier LEDs LED Backlight is a consumer of one or multiple LED class devices, but devlink is currently unable to create correct supplier-producer links when the supplier is a class device. It creates instead a link where the supplier is the parent of the expected device. One consequence is that removal order is not correctly enforced. Issues happen for example with the following sections in a device tree overlay: // An LED driver chip pca9632@62 { compatible = "nxp,pca9632"; reg = <0x62>; // ... addon_led_pwm: led-pwm@3 { reg = <3>; label = "addon:led:pwm"; }; }; backlight-addon { compatible = "led-backlight"; leds = <&addon_led_pwm>; brightness-levels = <255>; default-brightness-level = <255>; }; In this example, the devlink should be created between the backlight-addon (consumer) and the pca9632@62 (supplier). Instead it is created between the backlight-addon (consumer) and the parent of the pca9632@62, which is typically the I2C bus adapter. On removal of the above overlay, the LED driver can be removed before the backlight device, resulting in: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 ... Call trace: led_put+0xe0/0x140 devm_led_release+0x6c/0x98 Another way to reproduce the bug without any device tree overlays is unbinding the LED class device (pca9632@62) before unbinding the consumer (backlight-addon): echo 11-0062 >/sys/bus/i2c/drivers/leds-pca963x/unbind echo ...backlight-dock >/sys/bus/platform/drivers/led-backlight/unbind Fix by adding a devlink between the consuming led-backlight device and the supplying LED device, as other drivers and subsystems do as well. Уязвимость компонента devlink ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl818x: Fix potential memory leaks in rtl8180_init_rx_ring() In rtl8180_init_rx_ring(), memory is allocated for skb packets and DMA allocations in a loop. When an allocation fails, the previously successful allocations are not freed on exit. Fix that by jumping to err_free_rings label on error, which calls rtl8180_free_rx_ring() to free the allocations. Remove the free of rx_ring in rtl8180_init_rx_ring() error path, and set the freed priv->rx_buf entry to null, to avoid double free. Уязвимость функции rtl8180_init_rx_ring() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFS: Automounted filesystems should inherit ro,noexec,nodev,sync flags When a filesystem is being automounted, it needs to preserve the user-set superblock mount options, such as the "ro" flag. Уязвимость компонента NFS ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mt76: mt7615: Fix memory leak in mt7615_mcu_wtbl_sta_add() In mt7615_mcu_wtbl_sta_add(), an skb sskb is allocated. If the subsequent call to mt76_connac_mcu_alloc_wtbl_req() fails, the function returns an error without freeing sskb, leading to a memory leak. Fix this by calling dev_kfree_skb() on sskb in the error handling path to ensure it is properly released. Уязвимость функции mt7615_mcu_wtbl_sta_add() ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/mchp-eic: Fix error code in mchp_eic_domain_alloc() If irq_domain_translate_twocell() sets "hwirq" to >= MCHP_EIC_NIRQ (2) then it results in an out of bounds access. The code checks for invalid values, but doesn't set the error code. Return -EINVAL in that case, instead of returning success. Уязвимость функции mchp_eic_domain_alloc() ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: Verify inode mode when loading from disk syzbot is reporting that S_IFMT bits of inode->i_mode can become bogus when the S_IFMT bits of the 16bits "mode" field loaded from disk are corrupted. According to [1], the permissions field was treated as reserved in Mac OS 8 and 9. According to [2], the reserved field was explicitly initialized with 0, and that field must remain 0 as long as reserved. Therefore, when the "mode" field is not 0 (i.e. no longer reserved), the file must be S_IFDIR if dir == 1, and the file must be one of S_IFREG/S_IFLNK/S_IFCHR/ S_IFBLK/S_IFIFO/S_IFSOCK if dir == 0. Уязвимость пакета для работы с файловой системой HFS+ hfsplus ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или раскрыть защищаемую информацию [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix return value of f2fs_recover_fsync_data() With below scripts, it will trigger panic in f2fs: mkfs.f2fs -f /dev/vdd mount /dev/vdd /mnt/f2fs touch /mnt/f2fs/foo sync echo 111 >> /mnt/f2fs/foo f2fs_io fsync /mnt/f2fs/foo f2fs_io shutdown 2 /mnt/f2fs umount /mnt/f2fs mount -o ro,norecovery /dev/vdd /mnt/f2fs or mount -o ro,disable_roll_forward /dev/vdd /mnt/f2fs F2FS-fs (vdd): f2fs_recover_fsync_data: recovery fsync data, check_only: 0 F2FS-fs (vdd): Mounted with checkpoint version = 7f5c361f F2FS-fs (vdd): Stopped filesystem due to reason: 0 F2FS-fs (vdd): f2fs_recover_fsync_data: recovery fsync data, check_only: 1 Filesystem f2fs get_tree() didn't set fc->root, returned 1 ------------[ cut here ]------------ kernel BUG at fs/super.c:1761! Oops: invalid opcode: 0000 [#1] SMP PTI CPU: 3 UID: 0 PID: 722 Comm: mount Not tainted 6.18.0-rc2+ #721 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:vfs_get_tree.cold+0x18/0x1a Call Trace: <TASK> fc_mount+0x13/0xa0 path_mount+0x34e/0xc50 __x64_sys_mount+0x121/0x150 do_syscall_64+0x84/0x800 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fa6cc126cfe The root cause is we missed to handle error number returned from f2fs_recover_fsync_data() when mounting image w/ ro,norecovery or ro,disable_roll_forward mount option, result in returning a positive error number to vfs_get_tree(), fix it. Уязвимость функции f2fs_recover_fsync_data() модуля fs/f2fs/super.c поддержки файловой системы F2FS ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix kernel BUG in ocfs2_find_victim_chain syzbot reported a kernel BUG in ocfs2_find_victim_chain() because the `cl_next_free_rec` field of the allocation chain list (next free slot in the chain list) is 0, triggring the BUG_ON(!cl->cl_next_free_rec) condition in ocfs2_find_victim_chain() and panicking the kernel. To fix this, an if condition is introduced in ocfs2_claim_suballoc_bits(), just before calling ocfs2_find_victim_chain(), the code block in it being executed when either of the following conditions is true: 1. `cl_next_free_rec` is equal to 0, indicating that there are no free chains in the allocation chain list 2. `cl_next_free_rec` is greater than `cl_count` (the total number of chains in the allocation chain list) Either of them being true is indicative of the fact that there are no chains left for usage. This is addressed using ocfs2_error(), which prints the error log for debugging purposes, rather than panicking the kernel. Уязвимость функции ocfs2_find_victim_chain() компонента fs/ocfs2/suballoc.c поддержки файловой системы OCFS2 ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid updating compression context during writeback Bai, Shuangpeng <sjb7183@psu.edu> reported a bug as below: Oops: divide error: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 11441 Comm: syz.0.46 Not tainted 6.17.0 #1 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:f2fs_all_cluster_page_ready+0x106/0x550 fs/f2fs/compress.c:857 Call Trace: <TASK> f2fs_write_cache_pages fs/f2fs/data.c:3078 [inline] __f2fs_write_data_pages fs/f2fs/data.c:3290 [inline] f2fs_write_data_pages+0x1c19/0x3600 fs/f2fs/data.c:3317 do_writepages+0x38e/0x640 mm/page-writeback.c:2634 filemap_fdatawrite_wbc mm/filemap.c:386 [inline] __filemap_fdatawrite_range mm/filemap.c:419 [inline] file_write_and_wait_range+0x2ba/0x3e0 mm/filemap.c:794 f2fs_do_sync_file+0x6e6/0x1b00 fs/f2fs/file.c:294 generic_write_sync include/linux/fs.h:3043 [inline] f2fs_file_write_iter+0x76e/0x2700 fs/f2fs/file.c:5259 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x7e9/0xe00 fs/read_write.c:686 ksys_write+0x19d/0x2d0 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf7/0x470 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f The bug was triggered w/ below race condition: fsync setattr ioctl - f2fs_do_sync_file - file_write_and_wait_range - f2fs_write_cache_pages : inode is non-compressed : cc.cluster_size = F2FS_I(inode)->i_cluster_size = 0 - tag_pages_for_writeback - f2fs_setattr - truncate_setsize - f2fs_truncate - f2fs_fileattr_set - f2fs_setflags_common - set_compress_context : F2FS_I(inode)->i_cluster_size = 4 : set_inode_flag(inode, FI_COMPRESSED_FILE) - f2fs_compressed_file : return true - f2fs_all_cluster_page_ready : "pgidx % cc->cluster_size" trigger dividing 0 issue Let's change as below to fix this issue: - introduce a new atomic type variable .writeback in structure f2fs_inode_info to track the number of threads which calling f2fs_write_cache_pages(). - use .i_sem lock to protect .writeback update. - check .writeback before update compression context in f2fs_setflags_common() to avoid race w/ ->writepages. Уязвимость функции функции f2fs_write_cache_pages() модуля fs/f2fs/data.c поддержки файловой системы F2FS ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: fsl-cpm: Check length parity before switching to 16 bit mode Commit fc96ec826bce ("spi: fsl-cpm: Use 16 bit mode for large transfers with even size") failed to make sure that the size is really even before switching to 16 bit mode. Until recently the problem went unnoticed because kernfs uses a pre-allocated bounce buffer of size PAGE_SIZE for reading EEPROM. But commit 8ad6249c51d0 ("eeprom: at25: convert to spi-mem API") introduced an additional dynamically allocated bounce buffer whose size is exactly the size of the transfer, leading to a buffer overrun in the fsl-cpm driver when that size is odd. Add the missing length parity verification and remain in 8 bit mode when the length is not even. Уязвимость модуля drivers/spi/spi-fsl-spi.c драйвера процессора коммуникаций Freescale (CPM) ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix missing hfs_bnode_get() in __hfs_bnode_create When sync() and link() are called concurrently, both threads may enter hfs_bnode_find() without finding the node in the hash table and proceed to create it. Thread A: hfsplus_write_inode() -> hfsplus_write_system_inode() -> hfs_btree_write() -> hfs_bnode_find(tree, 0) -> __hfs_bnode_create(tree, 0) Thread B: hfsplus_create_cat() -> hfs_brec_insert() -> hfs_bnode_split() -> hfs_bmap_alloc() -> hfs_bnode_find(tree, 0) -> __hfs_bnode_create(tree, 0) In this case, thread A creates the bnode, sets refcnt=1, and hashes it. Thread B also tries to create the same bnode, notices it has already been inserted, drops its own instance, and uses the hashed one without getting the node. ``` node2 = hfs_bnode_findhash(tree, cnid); if (!node2) { <- Thread A hash = hfs_bnode_hash(cnid); node->next_hash = tree->node_hash[hash]; tree->node_hash[hash] = node; tree->node_hash_cnt++; } else { <- Thread B spin_unlock(&tree->hash_lock); kfree(node); wait_event(node2->lock_wq, !test_bit(HFS_BNODE_NEW, &node2->flags)); return node2; } ``` However, hfs_bnode_find() requires each call to take a reference. Here both threads end up setting refcnt=1. When they later put the node, this triggers: BUG_ON(!atomic_read(&node->refcnt)) In this scenario, Thread B in fact finds the node in the hash table rather than creating a new one, and thus must take a reference. Fix this by calling hfs_bnode_get() when reusing a bnode newly created by another thread to ensure the refcount is updated correctly. A similar bug was fixed in HFS long ago in commit a9dc087fd3c4 ("fix missing hfs_bnode_get() in __hfs_bnode_create") but the same issue remained in HFS+ until now. Уязвимость функции hfs_bnode_get() модуля fs/hfsplus/bnode.c набора инструментов в Linux для работы с файловой системой HFS+ hfsplus ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/hsr: fix NULL pointer dereference in prp_get_untagged_frame() prp_get_untagged_frame() calls __pskb_copy() to create frame->skb_std but doesn't check if the allocation failed. If __pskb_copy() returns NULL, skb_clone() is called with a NULL pointer, causing a crash: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000f: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000078-0x000000000000007f] CPU: 0 UID: 0 PID: 5625 Comm: syz.1.18 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:skb_clone+0xd7/0x3a0 net/core/skbuff.c:2041 Code: 03 42 80 3c 20 00 74 08 4c 89 f7 e8 23 29 05 f9 49 83 3e 00 0f 85 a0 01 00 00 e8 94 dd 9d f8 48 8d 6b 7e 49 89 ee 49 c1 ee 03 <43> 0f b6 04 26 84 c0 0f 85 d1 01 00 00 44 0f b6 7d 00 41 83 e7 0c RSP: 0018:ffffc9000d00f200 EFLAGS: 00010207 RAX: ffffffff892235a1 RBX: 0000000000000000 RCX: ffff88803372a480 RDX: 0000000000000000 RSI: 0000000000000820 RDI: 0000000000000000 RBP: 000000000000007e R08: ffffffff8f7d0f77 R09: 1ffffffff1efa1ee R10: dffffc0000000000 R11: fffffbfff1efa1ef R12: dffffc0000000000 R13: 0000000000000820 R14: 000000000000000f R15: ffff88805144cc00 FS: 0000555557f6d500(0000) GS:ffff88808d72f000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000555581d35808 CR3: 000000005040e000 CR4: 0000000000352ef0 Call Trace: <TASK> hsr_forward_do net/hsr/hsr_forward.c:-1 [inline] hsr_forward_skb+0x1013/0x2860 net/hsr/hsr_forward.c:741 hsr_handle_frame+0x6ce/0xa70 net/hsr/hsr_slave.c:84 __netif_receive_skb_core+0x10b9/0x4380 net/core/dev.c:5966 __netif_receive_skb_one_core net/core/dev.c:6077 [inline] __netif_receive_skb+0x72/0x380 net/core/dev.c:6192 netif_receive_skb_internal net/core/dev.c:6278 [inline] netif_receive_skb+0x1cb/0x790 net/core/dev.c:6337 tun_rx_batched+0x1b9/0x730 drivers/net/tun.c:1485 tun_get_user+0x2b65/0x3e90 drivers/net/tun.c:1953 tun_chr_write_iter+0x113/0x200 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x5c9/0xb30 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f0449f8e1ff Code: 89 54 24 18 48 89 74 24 10 89 7c 24 08 e8 f9 92 02 00 48 8b 54 24 18 48 8b 74 24 10 41 89 c0 8b 7c 24 08 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 31 44 89 c7 48 89 44 24 08 e8 4c 93 02 00 48 RSP: 002b:00007ffd7ad94c90 EFLAGS: 00000293 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 00007f044a1e5fa0 RCX: 00007f0449f8e1ff RDX: 000000000000003e RSI: 0000200000000500 RDI: 00000000000000c8 RBP: 00007ffd7ad94d20 R08: 0000000000000000 R09: 0000000000000000 R10: 000000000000003e R11: 0000000000000293 R12: 0000000000000001 R13: 00007f044a1e5fa0 R14: 00007f044a1e5fa0 R15: 0000000000000003 </TASK> Add a NULL check immediately after __pskb_copy() to handle allocation failures gracefully. Уязвимость функции prp_get_untagged_frame() модуля net/hsr реализации протокола бесшовного резервирования высокой доступности (HSR) ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: ti_am335x_tsc - fix off-by-one error in wire_order validation The current validation 'wire_order[i] > ARRAY_SIZE(config_pins)' allows wire_order[i] to equal ARRAY_SIZE(config_pins), which causes out-of-bounds access when used as index in 'config_pins[wire_order[i]]'. Since config_pins has 4 elements (indices 0-3), the valid range for wire_order should be 0-3. Fix the off-by-one error by using >= instead of > in the validation check. Уязвимость компонента drivers/input/touchscreen/ti_am335x_tsc.c драйвера для интерфейса сенсорного экрана (TSC) ti_am33x_tsc ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или раскрыть защищаемую информацию [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: don't log conflicting inode if it's a dir moved in the current transaction We can't log a conflicting inode if it's a directory and it was moved from one parent directory to another parent directory in the current transaction, as this can result an attempt to have a directory with two hard links during log replay, one for the old parent directory and another for the new parent directory. The following scenario triggers that issue: 1) We have directories "dir1" and "dir2" created in a past transaction. Directory "dir1" has inode A as its parent directory; 2) We move "dir1" to some other directory; 3) We create a file with the name "dir1" in directory inode A; 4) We fsync the new file. This results in logging the inode of the new file and the inode for the directory "dir1" that was previously moved in the current transaction. So the log tree has the INODE_REF item for the new location of "dir1"; 5) We move the new file to some other directory. This results in updating the log tree to included the new INODE_REF for the new location of the file and removes the INODE_REF for the old location. This happens during the rename when we call btrfs_log_new_name(); 6) We fsync the file, and that persists the log tree changes done in the previous step (btrfs_log_new_name() only updates the log tree in memory); 7) We have a power failure; 8) Next time the fs is mounted, log replay happens and when processing the inode for directory "dir1" we find a new INODE_REF and add that link, but we don't remove the old link of the inode since we have not logged the old parent directory of the directory inode "dir1". As a result after log replay finishes when we trigger writeback of the subvolume tree's extent buffers, the tree check will detect that we have a directory a hard link count of 2 and we get a mount failure. The errors and stack traces reported in dmesg/syslog are like this: [ 3845.729764] BTRFS info (device dm-0): start tree-log replay [ 3845.730304] page: refcount:3 mapcount:0 mapping:000000005c8a3027 index:0x1d00 pfn:0x11510c [ 3845.731236] memcg:ffff9264c02f4e00 [ 3845.731751] aops:btree_aops [btrfs] ino:1 [ 3845.732300] flags: 0x17fffc00000400a(uptodate|private|writeback|node=0|zone=2|lastcpupid=0x1ffff) [ 3845.733346] raw: 017fffc00000400a 0000000000000000 dead000000000122 ffff9264d978aea8 [ 3845.734265] raw: 0000000000001d00 ffff92650e6d4738 00000003ffffffff ffff9264c02f4e00 [ 3845.735305] page dumped because: eb page dump [ 3845.735981] BTRFS critical (device dm-0): corrupt leaf: root=5 block=30408704 slot=6 ino=257, invalid nlink: has 2 expect no more than 1 for dir [ 3845.737786] BTRFS info (device dm-0): leaf 30408704 gen 10 total ptrs 17 free space 14881 owner 5 [ 3845.737789] BTRFS info (device dm-0): refs 4 lock_owner 0 current 30701 [ 3845.737792] item 0 key (256 INODE_ITEM 0) itemoff 16123 itemsize 160 [ 3845.737794] inode generation 3 transid 9 size 16 nbytes 16384 [ 3845.737795] block group 0 mode 40755 links 1 uid 0 gid 0 [ 3845.737797] rdev 0 sequence 2 flags 0x0 [ 3845.737798] atime 1764259517.0 [ 3845.737800] ctime 1764259517.572889464 [ 3845.737801] mtime 1764259517.572889464 [ 3845.737802] otime 1764259517.0 [ 3845.737803] item 1 key (256 INODE_REF 256) itemoff 16111 itemsize 12 [ 3845.737805] index 0 name_len 2 [ 3845.737807] item 2 key (256 DIR_ITEM 2363071922) itemoff 16077 itemsize 34 [ 3845.737808] location key (257 1 0) type 2 [ 3845.737810] transid 9 data_len 0 name_len 4 [ 3845.737811] item 3 key (256 DIR_ITEM 2676584006) itemoff 16043 itemsize 34 [ 3845.737813] location key (258 1 0) type 2 [ 3845.737814] transid 9 data_len 0 name_len 4 [ 3845.737815] item 4 key (256 DIR_INDEX 2) itemoff 16009 itemsize 34 [ 3845.737816] location key (257 1 0) type 2 [ ---truncated--- Уязвимость функции btrfs_log_new_name() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched/deadline: only set free_cpus for online runqueues Commit 16b269436b72 ("sched/deadline: Modify cpudl::free_cpus to reflect rd->online") introduced the cpudl_set/clear_freecpu functions to allow the cpu_dl::free_cpus mask to be manipulated by the deadline scheduler class rq_on/offline callbacks so the mask would also reflect this state. Commit 9659e1eeee28 ("sched/deadline: Remove cpu_active_mask from cpudl_find()") removed the check of the cpu_active_mask to save some processing on the premise that the cpudl::free_cpus mask already reflected the runqueue online state. Unfortunately, there are cases where it is possible for the cpudl_clear function to set the free_cpus bit for a CPU when the deadline runqueue is offline. When this occurs while a CPU is connected to the default root domain the flag may retain the bad state after the CPU has been unplugged. Later, a different CPU that is transitioning through the default root domain may push a deadline task to the powered down CPU when cpudl_find sees its free_cpus bit is set. If this happens the task will not have the opportunity to run. One example is outlined here: https://lore.kernel.org/lkml/20250110233010.2339521-1-opendmb@gmail.com Another occurs when the last deadline task is migrated from a CPU that has an offlined runqueue. The dequeue_task member of the deadline scheduler class will eventually call cpudl_clear and set the free_cpus bit for the CPU. This commit modifies the cpudl_clear function to be aware of the online state of the deadline runqueue so that the free_cpus mask can be updated appropriately. It is no longer necessary to manage the mask outside of the cpudl_set/clear functions so the cpudl_set/clear_freecpu functions are removed. In addition, since the free_cpus mask is now only updated under the cpudl lock the code was changed to use the non-atomic __cpumask functions. Уязвимость модулей kernel/sched/cpudeadline.c, kernel/sched/cpudeadline.h, kernel/sched/deadline.c ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: phy: fsl-usb: Fix use-after-free in delayed work during device removal The delayed work item otg_event is initialized in fsl_otg_conf() and scheduled under two conditions: 1. When a host controller binds to the OTG controller. 2. When the USB ID pin state changes (cable insertion/removal). A race condition occurs when the device is removed via fsl_otg_remove(): the fsl_otg instance may be freed while the delayed work is still pending or executing. This leads to use-after-free when the work function fsl_otg_event() accesses the already freed memory. The problematic scenario: (detach thread) | (delayed work) fsl_otg_remove() | kfree(fsl_otg_dev) //FREE| fsl_otg_event() | og = container_of(...) //USE | og-> //USE Fix this by calling disable_delayed_work_sync() in fsl_otg_remove() before deallocating the fsl_otg structure. This ensures the delayed work is properly canceled and completes execution prior to memory deallocation. This bug was identified through static analysis. Уязвимость функции fsl_otg_remove() модуля drivers/usb/phy/phy-fsl-usb.c ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: Reset t_task_cdb pointer in error case If allocation of cmd->t_task_cdb fails, it remains NULL but is later dereferenced in the 'err' path. In case of error, reset NULL t_task_cdb value to point at the default fixed-size buffer. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость модуля drivers/target/target_core_transport.c драйвера поддержки устройств SCSI ядра операционной системы Linux связана с ошибками разыменования указателя t_task_cdb. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-mixer: us16x08: validate meter packet indices get_meter_levels_from_urb() parses the 64-byte meter packets sent by the device and fills the per-channel arrays meter_level[], comp_level[] and master_level[] in struct snd_us16x08_meter_store. Currently the function derives the channel index directly from the meter packet (MUB2(meter_urb, s) - 1) and uses it to index those arrays without validating the range. If the packet contains a negative or out-of-range channel number, the driver may write past the end of these arrays. Introduce a local channel variable and validate it before updating the arrays. We reject negative indices, limit meter_level[] and comp_level[] to SND_US16X08_MAX_CHANNELS, and guard master_level[] updates with ARRAY_SIZE(master_level). Уязвимость функции get_meter_levels_from_urb() модуля sound/usb/mixer_us16x08.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: fix middle attribute validation in push_nsh() action The push_nsh() action structure looks like this: OVS_ACTION_ATTR_PUSH_NSH(OVS_KEY_ATTR_NSH(OVS_NSH_KEY_ATTR_BASE,...)) The outermost OVS_ACTION_ATTR_PUSH_NSH attribute is OK'ed by the nla_for_each_nested() inside __ovs_nla_copy_actions(). The innermost OVS_NSH_KEY_ATTR_BASE/MD1/MD2 are OK'ed by the nla_for_each_nested() inside nsh_key_put_from_nlattr(). But nothing checks if the attribute in the middle is OK. We don't even check that this attribute is the OVS_KEY_ATTR_NSH. We just do a double unwrap with a pair of nla_data() calls - first time directly while calling validate_push_nsh() and the second time as part of the nla_for_each_nested() macro, which isn't safe, potentially causing invalid memory access if the size of this attribute is incorrect. The failure may not be noticed during validation due to larger netlink buffer, but cause trouble later during action execution where the buffer is allocated exactly to the size: BUG: KASAN: slab-out-of-bounds in nsh_hdr_from_nlattr+0x1dd/0x6a0 [openvswitch] Read of size 184 at addr ffff88816459a634 by task a.out/22624 CPU: 8 UID: 0 PID: 22624 6.18.0-rc7+ #115 PREEMPT(voluntary) Call Trace: <TASK> dump_stack_lvl+0x51/0x70 print_address_description.constprop.0+0x2c/0x390 kasan_report+0xdd/0x110 kasan_check_range+0x35/0x1b0 __asan_memcpy+0x20/0x60 nsh_hdr_from_nlattr+0x1dd/0x6a0 [openvswitch] push_nsh+0x82/0x120 [openvswitch] do_execute_actions+0x1405/0x2840 [openvswitch] ovs_execute_actions+0xd5/0x3b0 [openvswitch] ovs_packet_cmd_execute+0x949/0xdb0 [openvswitch] genl_family_rcv_msg_doit+0x1d6/0x2b0 genl_family_rcv_msg+0x336/0x580 genl_rcv_msg+0x9f/0x130 netlink_rcv_skb+0x11f/0x370 genl_rcv+0x24/0x40 netlink_unicast+0x73e/0xaa0 netlink_sendmsg+0x744/0xbf0 __sys_sendto+0x3d6/0x450 do_syscall_64+0x79/0x2c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> Let's add some checks that the attribute is properly sized and it's the only one attribute inside the action. Technically, there is no real reason for OVS_KEY_ATTR_NSH to be there, as we know that we're pushing an NSH header already, it just creates extra nesting, but that's how uAPI works today. So, keeping as it is. Уязвимость функции push_nsh() ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: skip lock-range check on equal size to avoid size==0 underflow When size equals the current i_size (including 0), the code used to call check_lock_range(filp, i_size, size - 1, WRITE), which computes `size - 1` and can underflow for size==0. Skip the equal case. Уязвимость функции check_lock_range() модуля fs/smb/server/vfs.c ядра операционной системы Linux с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netrom: Fix memory leak in nr_sendmsg() syzbot reported a memory leak [1]. When function sock_alloc_send_skb() return NULL in nr_output(), the original skb is not freed, which was allocated in nr_sendmsg(). Fix this by freeing it before return. [1] BUG: memory leak unreferenced object 0xffff888129f35500 (size 240): comm "syz.0.17", pid 6119, jiffies 4294944652 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 10 52 28 81 88 ff ff ..........R(.... backtrace (crc 1456a3e4): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4983 [inline] slab_alloc_node mm/slub.c:5288 [inline] kmem_cache_alloc_node_noprof+0x36f/0x5e0 mm/slub.c:5340 __alloc_skb+0x203/0x240 net/core/skbuff.c:660 alloc_skb include/linux/skbuff.h:1383 [inline] alloc_skb_with_frags+0x69/0x3f0 net/core/skbuff.c:6671 sock_alloc_send_pskb+0x379/0x3e0 net/core/sock.c:2965 sock_alloc_send_skb include/net/sock.h:1859 [inline] nr_sendmsg+0x287/0x450 net/netrom/af_netrom.c:1105 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] sock_write_iter+0x293/0x2a0 net/socket.c:1195 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x45d/0x710 fs/read_write.c:686 ksys_write+0x143/0x170 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции nr_sendmsg() модуля net/netrom/nr_out.c ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fsnotify: do not generate ACCESS/MODIFY events on child for special files inotify/fanotify do not allow users with no read access to a file to subscribe to events (e.g. IN_ACCESS/IN_MODIFY), but they do allow the same user to subscribe for watching events on children when the user has access to the parent directory (e.g. /dev). Users with no read access to a file but with read access to its parent directory can still stat the file and see if it was accessed/modified via atime/mtime change. The same is not true for special files (e.g. /dev/null). Users will not generally observe atime/mtime changes when other users read/write to special files, only when someone sets atime/mtime via utimensat(). Align fsnotify events with this stat behavior and do not generate ACCESS/MODIFY events to parent watchers on read/write of special files. The events are still generated to parent watchers on utimensat(). This closes some side-channels that could be possibly used for information exfiltration [1]. [1] https://snee.la/pdf/pubs/file-notification-attacks.pdf Уязвимость модуля fs/notify/fsnotify.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ethtool: Avoid overflowing userspace buffer on stats query The ethtool -S command operates across three ioctl calls: ETHTOOL_GSSET_INFO for the size, ETHTOOL_GSTRINGS for the names, and ETHTOOL_GSTATS for the values. If the number of stats changes between these calls (e.g., due to device reconfiguration), userspace's buffer allocation will be incorrect, potentially leading to buffer overflow. Drivers are generally expected to maintain stable stat counts, but some drivers (e.g., mlx5, bnx2x, bna, ksz884x) use dynamic counters, making this scenario possible. Some drivers try to handle this internally: - bnad_get_ethtool_stats() returns early in case stats.n_stats is not equal to the driver's stats count. - micrel/ksz884x also makes sure not to write anything beyond stats.n_stats and overflow the buffer. However, both use stats.n_stats which is already assigned with the value returned from get_sset_count(), hence won't solve the issue described here. Change ethtool_get_strings(), ethtool_get_stats(), ethtool_get_phy_stats() to not return anything in case of a mismatch between userspace's size and get_sset_size(), to prevent buffer overflow. The returned n_stats value will be equal to zero, to reflect that nothing has been returned. This could result in one of two cases when using upstream ethtool, depending on when the size change is detected: 1. When detected in ethtool_get_strings(): # ethtool -S eth2 no stats available 2. When detected in get stats, all stats will be reported as zero. Both cases are presumably transient, and a subsequent ethtool call should succeed. Other than the overflow avoidance, these two cases are very evident (no output/cleared stats), which is arguably better than presenting incorrect/shifted stats. I also considered returning an error instead of a "silent" response, but that seems more destructive towards userspace apps. Notes: - This patch does not claim to fix the inherent race, it only makes sure that we do not overflow the userspace buffer, and makes for a more predictable behavior. - RTNL lock is held during each ioctl, the race window exists between the separate ioctl calls when the lock is released. - Userspace ethtool always fills stats.n_stats, but it is likely that these stats ioctls are implemented in other userspace applications which might not fill it. The added code checks that it's not zero, to prevent any regressions. Уязвимость функции bnad_get_ethtool_stats() ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid updating zero-sized extent in extent cache As syzbot reported: F2FS-fs (loop0): __update_extent_tree_range: extent len is zero, type: 0, extent [0, 0, 0], age [0, 0] ------------[ cut here ]------------ kernel BUG at fs/f2fs/extent_cache.c:678! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 5336 Comm: syz.0.0 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:__update_extent_tree_range+0x13bc/0x1500 fs/f2fs/extent_cache.c:678 Call Trace: <TASK> f2fs_update_read_extent_cache_range+0x192/0x3e0 fs/f2fs/extent_cache.c:1085 f2fs_do_zero_range fs/f2fs/file.c:1657 [inline] f2fs_zero_range+0x10c1/0x1580 fs/f2fs/file.c:1737 f2fs_fallocate+0x583/0x990 fs/f2fs/file.c:2030 vfs_fallocate+0x669/0x7e0 fs/open.c:342 ioctl_preallocate fs/ioctl.c:289 [inline] file_ioctl+0x611/0x780 fs/ioctl.c:-1 do_vfs_ioctl+0xb33/0x1430 fs/ioctl.c:576 __do_sys_ioctl fs/ioctl.c:595 [inline] __se_sys_ioctl+0x82/0x170 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f07bc58eec9 In error path of f2fs_zero_range(), it may add a zero-sized extent into extent cache, it should be avoided. Уязвимость функции f2fs_zero_range() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: char: applicom: fix NULL pointer dereference in ac_ioctl Discovered by Atuin - Automated Vulnerability Discovery Engine. In ac_ioctl, the validation of IndexCard and the check for a valid RamIO pointer are skipped when cmd is 6. However, the function unconditionally executes readb(apbs[IndexCard].RamIO + VERS) at the end. If cmd is 6, IndexCard may reference a board that does not exist (where RamIO is NULL), leading to a NULL pointer dereference. Fix this by skipping the readb access when cmd is 6, as this command is a global information query and does not target a specific board context. Уязвимость функции ac_ioctl() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/x86/amd: Check event before enable to avoid GPF On AMD machines cpuc->events[idx] can become NULL in a subtle race condition with NMI->throttle->x86_pmu_stop(). Check event for NULL in amd_pmu_enable_all() before enable to avoid a GPF. This appears to be an AMD only issue. Syzkaller reported a GPF in amd_pmu_enable_all. INFO: NMI handler (perf_event_nmi_handler) took too long to run: 13.143 msecs Oops: general protection fault, probably for non-canonical address 0xdffffc0000000034: 0000 PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x00000000000001a0-0x00000000000001a7] CPU: 0 UID: 0 PID: 328415 Comm: repro_36674776 Not tainted 6.12.0-rc1-syzk RIP: 0010:x86_pmu_enable_event (arch/x86/events/perf_event.h:1195 arch/x86/events/core.c:1430) RSP: 0018:ffff888118009d60 EFLAGS: 00010012 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: 0000000000000000 RDX: 0000000000000034 RSI: 0000000000000000 RDI: 00000000000001a0 RBP: 0000000000000001 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 0000000000000002 R13: ffff88811802a440 R14: ffff88811802a240 R15: ffff8881132d8601 FS: 00007f097dfaa700(0000) GS:ffff888118000000(0000) GS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000200001c0 CR3: 0000000103d56000 CR4: 00000000000006f0 Call Trace: <IRQ> amd_pmu_enable_all (arch/x86/events/amd/core.c:760 (discriminator 2)) x86_pmu_enable (arch/x86/events/core.c:1360) event_sched_out (kernel/events/core.c:1191 kernel/events/core.c:1186 kernel/events/core.c:2346) __perf_remove_from_context (kernel/events/core.c:2435) event_function (kernel/events/core.c:259) remote_function (kernel/events/core.c:92 (discriminator 1) kernel/events/core.c:72 (discriminator 1)) __flush_smp_call_function_queue (./arch/x86/include/asm/jump_label.h:27 ./include/linux/jump_label.h:207 ./include/trace/events/csd.h:64 kernel/smp.c:135 kernel/smp.c:540) __sysvec_call_function_single (./arch/x86/include/asm/jump_label.h:27 ./include/linux/jump_label.h:207 ./arch/x86/include/asm/trace/irq_vectors.h:99 arch/x86/kernel/smp.c:272) sysvec_call_function_single (arch/x86/kernel/smp.c:266 (discriminator 47) arch/x86/kernel/smp.c:266 (discriminator 47)) </IRQ> Уязвимость функции x86_pmu_stop() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: caif: fix integer underflow in cffrml_receive() The cffrml_receive() function extracts a length field from the packet header and, when FCS is disabled, subtracts 2 from this length without validating that len >= 2. If an attacker sends a malicious packet with a length field of 0 or 1 to an interface with FCS disabled, the subtraction causes an integer underflow. This can lead to memory exhaustion and kernel instability, potential information disclosure if padding contains uninitialized kernel memory. Fix this by validating that len >= 2 before performing the subtraction. Уязвимость функции cffrml_receive() ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_mr: Fix use-after-free when updating multicast route stats Cited commit added a dedicated mutex (instead of RTNL) to protect the multicast route list, so that it will not change while the driver periodically traverses it in order to update the kernel about multicast route stats that were queried from the device. One instance of list entry deletion (during route replace) was missed and it can result in a use-after-free [1]. Fix by acquiring the mutex before deleting the entry from the list and releasing it afterwards. [1] BUG: KASAN: slab-use-after-free in mlxsw_sp_mr_stats_update+0x4a5/0x540 drivers/net/ethernet/mellanox/mlxsw/spectrum_mr.c:1006 [mlxsw_spectrum] Read of size 8 at addr ffff8881523c2fa8 by task kworker/2:5/22043 CPU: 2 UID: 0 PID: 22043 Comm: kworker/2:5 Not tainted 6.18.0-rc1-custom-g1a3d6d7cd014 #1 PREEMPT(full) Hardware name: Mellanox Technologies Ltd. MSN2010/SA002610, BIOS 5.6.5 08/24/2017 Workqueue: mlxsw_core mlxsw_sp_mr_stats_update [mlxsw_spectrum] Call Trace: <TASK> dump_stack_lvl+0xba/0x110 print_report+0x174/0x4f5 kasan_report+0xdf/0x110 mlxsw_sp_mr_stats_update+0x4a5/0x540 drivers/net/ethernet/mellanox/mlxsw/spectrum_mr.c:1006 [mlxsw_spectrum] process_one_work+0x9cc/0x18e0 worker_thread+0x5df/0xe40 kthread+0x3b8/0x730 ret_from_fork+0x3e9/0x560 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 29933: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x8f/0xa0 mlxsw_sp_mr_route_add+0xd8/0x4770 [mlxsw_spectrum] mlxsw_sp_router_fibmr_event_work+0x371/0xad0 drivers/net/ethernet/mellanox/mlxsw/spectrum_router.c:7965 [mlxsw_spectrum] process_one_work+0x9cc/0x18e0 worker_thread+0x5df/0xe40 kthread+0x3b8/0x730 ret_from_fork+0x3e9/0x560 ret_from_fork_asm+0x1a/0x30 Freed by task 29933: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_save_free_info+0x3b/0x70 __kasan_slab_free+0x43/0x70 kfree+0x14e/0x700 mlxsw_sp_mr_route_add+0x2dea/0x4770 drivers/net/ethernet/mellanox/mlxsw/spectrum_mr.c:444 [mlxsw_spectrum] mlxsw_sp_router_fibmr_event_work+0x371/0xad0 drivers/net/ethernet/mellanox/mlxsw/spectrum_router.c:7965 [mlxsw_spectrum] process_one_work+0x9cc/0x18e0 worker_thread+0x5df/0xe40 kthread+0x3b8/0x730 ret_from_fork+0x3e9/0x560 ret_from_fork_asm+0x1a/0x30 Уязвимость функции spectrum_mr() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_router: Fix neighbour use-after-free We sometimes observe use-after-free when dereferencing a neighbour [1]. The problem seems to be that the driver stores a pointer to the neighbour, but without holding a reference on it. A reference is only taken when the neighbour is used by a nexthop. Fix by simplifying the reference counting scheme. Always take a reference when storing a neighbour pointer in a neighbour entry. Avoid taking a referencing when the neighbour is used by a nexthop as the neighbour entry associated with the nexthop already holds a reference. Tested by running the test that uncovered the problem over 300 times. Without this patch the problem was reproduced after a handful of iterations. [1] BUG: KASAN: slab-use-after-free in mlxsw_sp_neigh_entry_update+0x2d4/0x310 Read of size 8 at addr ffff88817f8e3420 by task ip/3929 CPU: 3 UID: 0 PID: 3929 Comm: ip Not tainted 6.18.0-rc4-virtme-g36b21a067510 #3 PREEMPT(full) Hardware name: Nvidia SN5600/VMOD0013, BIOS 5.13 05/31/2023 Call Trace: <TASK> dump_stack_lvl+0x6f/0xa0 print_address_description.constprop.0+0x6e/0x300 print_report+0xfc/0x1fb kasan_report+0xe4/0x110 mlxsw_sp_neigh_entry_update+0x2d4/0x310 mlxsw_sp_router_rif_gone_sync+0x35f/0x510 mlxsw_sp_rif_destroy+0x1ea/0x730 mlxsw_sp_inetaddr_port_vlan_event+0xa1/0x1b0 __mlxsw_sp_inetaddr_lag_event+0xcc/0x130 __mlxsw_sp_inetaddr_event+0xf5/0x3c0 mlxsw_sp_router_netdevice_event+0x1015/0x1580 notifier_call_chain+0xcc/0x150 call_netdevice_notifiers_info+0x7e/0x100 __netdev_upper_dev_unlink+0x10b/0x210 netdev_upper_dev_unlink+0x79/0xa0 vrf_del_slave+0x18/0x50 do_set_master+0x146/0x7d0 do_setlink.isra.0+0x9a0/0x2880 rtnl_newlink+0x637/0xb20 rtnetlink_rcv_msg+0x6fe/0xb90 netlink_rcv_skb+0x123/0x380 netlink_unicast+0x4a3/0x770 netlink_sendmsg+0x75b/0xc90 __sock_sendmsg+0xbe/0x160 ____sys_sendmsg+0x5b2/0x7d0 ___sys_sendmsg+0xfd/0x180 __sys_sendmsg+0x124/0x1c0 do_syscall_64+0xbb/0xfd0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 [...] Allocated by task 109: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7b/0x90 __kmalloc_noprof+0x2c1/0x790 neigh_alloc+0x6af/0x8f0 ___neigh_create+0x63/0xe90 mlxsw_sp_nexthop_neigh_init+0x430/0x7e0 mlxsw_sp_nexthop_type_init+0x212/0x960 mlxsw_sp_nexthop6_group_info_init.constprop.0+0x81f/0x1280 mlxsw_sp_nexthop6_group_get+0x392/0x6a0 mlxsw_sp_fib6_entry_create+0x46a/0xfd0 mlxsw_sp_router_fib6_replace+0x1ed/0x5f0 mlxsw_sp_router_fib6_event_work+0x10a/0x2a0 process_one_work+0xd57/0x1390 worker_thread+0x4d6/0xd40 kthread+0x355/0x5b0 ret_from_fork+0x1d4/0x270 ret_from_fork_asm+0x11/0x20 Freed by task 154: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x43/0x70 kmem_cache_free_bulk.part.0+0x1eb/0x5e0 kvfree_rcu_bulk+0x1f2/0x260 kfree_rcu_work+0x130/0x1b0 process_one_work+0xd57/0x1390 worker_thread+0x4d6/0xd40 kthread+0x355/0x5b0 ret_from_fork+0x1d4/0x270 ret_from_fork_asm+0x11/0x20 Last potentially related work creation: kasan_save_stack+0x30/0x50 kasan_record_aux_stack+0x8c/0xa0 kvfree_call_rcu+0x93/0x5b0 mlxsw_sp_router_neigh_event_work+0x67d/0x860 process_one_work+0xd57/0x1390 worker_thread+0x4d6/0xd40 kthread+0x355/0x5b0 ret_from_fork+0x1d4/0x270 ret_from_fork_asm+0x11/0x20 Уязвимость компонента drivers/net/ethernet/mellanox/mlxsw/spectrum_router.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: NFSv4 file creation neglects setting ACL An NFSv4 client that sets an ACL with a named principal during file creation retrieves the ACL afterwards, and finds that it is only a default ACL (based on the mode bits) and not the ACL that was requested during file creation. This violates RFC 8881 section 6.4.1.3: "the ACL attribute is set as given". The issue occurs in nfsd_create_setattr(), which calls nfsd_attrs_valid() to determine whether to call nfsd_setattr(). However, nfsd_attrs_valid() checks only for iattr changes and security labels, but not POSIX ACLs. When only an ACL is present, the function returns false, nfsd_setattr() is skipped, and the POSIX ACL is never applied to the inode. Subsequently, when the client retrieves the ACL, the server finds no POSIX ACL on the inode and returns one generated from the file's mode bits rather than returning the originally-specified ACL. Уязвимость функции nfsd_create_setattr() ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=8.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/chrome: cros_ec_ishtp: Fix UAF after unbinding driver After unbinding the driver, another kthread `cros_ec_console_log_work` is still accessing the device, resulting an UAF and crash. The driver doesn't unregister the EC device in .remove() which should shutdown sub-devices synchronously. Fix it. Уязвимость компонента drivers/platform/chrome/cros_ec_ishtp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Для устранения угрозы эксплуатации уязвимости CVE-2025-68804 необходимо запретить загрузку модуля `cros_ec_ishtp.ko` в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль `cros_ec_ishtp` в ядро системы, для этого выполнить одну из команд: `lsmod | grep cros_ec_ishtp` или `kmod list | grep cros_ec_ishtp` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля `cros_ec_ishtp.ko`: `sudo rmmod cros_ec_ishtp` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл `/etc/modprobe.d/blacklist.local.conf` или файл `/etc/modprobe.d/disable-cros_ec_ishtp.conf`. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install cros_ec_ishtp /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix buffer validation by including null terminator size in EA length The smb2_set_ea function, which handles Extended Attributes (EA), was performing buffer validation checks that incorrectly omitted the size of the null terminating character (+1 byte) for EA Name. This patch fixes the issue by explicitly adding '+ 1' to EaNameLength where the null terminator is expected to be present in the buffer, ensuring the validation accurately reflects the total required buffer size. Уязвимость функции smb2_set_ea() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Для устранения угрозы эксплуатации уязвимости CVE-2025-68806 необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: `lsmod | grep ksmbd` или `kmod list | grep ksmbd` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля ksmbd: `sudo rmmod ksmbd` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install ksmbd /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: vidtv: initialize local pointers upon transfer of memory ownership vidtv_channel_si_init() creates a temporary list (program, service, event) and ownership of the memory itself is transferred to the PAT/SDT/EIT tables through vidtv_psi_pat_program_assign(), vidtv_psi_sdt_service_assign(), vidtv_psi_eit_event_assign(). The problem here is that the local pointer where the memory ownership transfer was completed is not initialized to NULL. This causes the vidtv_psi_pmt_create_sec_for_each_pat_entry() function to fail, and in the flow that jumps to free_eit, the memory that was freed by vidtv_psi_*_table_destroy() can be accessed again by vidtv_psi_*_event_destroy() due to the uninitialized local pointer, so it is freed once again. Therefore, to prevent use-after-free and double-free vulnerability, local pointers must be initialized to NULL when transferring memory ownership. Уязвимость функции vidtv_channel_si_init() компонента drivers/media/test-drivers/vidtv/vidtv_channel.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvs: fix ipv4 null-ptr-deref in route error path The IPv4 code path in __ip_vs_get_out_rt() calls dst_link_failure() without ensuring skb->dev is set, leading to a NULL pointer dereference in fib_compute_spec_dst() when ipv4_link_failure() attempts to send ICMP destination unreachable messages. The issue emerged after commit ed0de45a1008 ("ipv4: recompile ip options in ipv4_link_failure") started calling __ip_options_compile() from ipv4_link_failure(). This code path eventually calls fib_compute_spec_dst() which dereferences skb->dev. An attempt was made to fix the NULL skb->dev dereference in commit 0113d9c9d1cc ("ipv4: fix null-deref in ipv4_link_failure"), but it only addressed the immediate dev_net(skb->dev) dereference by using a fallback device. The fix was incomplete because fib_compute_spec_dst() later in the call chain still accesses skb->dev directly, which remains NULL when IPVS calls dst_link_failure(). The crash occurs when: 1. IPVS processes a packet in NAT mode with a misconfigured destination 2. Route lookup fails in __ip_vs_get_out_rt() before establishing a route 3. The error path calls dst_link_failure(skb) with skb->dev == NULL 4. ipv4_link_failure() → ipv4_send_dest_unreach() → __ip_options_compile() → fib_compute_spec_dst() 5. fib_compute_spec_dst() dereferences NULL skb->dev Apply the same fix used for IPv6 in commit 326bf17ea5d4 ("ipvs: fix ipv6 route unreach panic"): set skb->dev from skb_dst(skb)->dev before calling dst_link_failure(). KASAN: null-ptr-deref in range [0x0000000000000328-0x000000000000032f] CPU: 1 PID: 12732 Comm: syz.1.3469 Not tainted 6.6.114 #2 RIP: 0010:__in_dev_get_rcu include/linux/inetdevice.h:233 RIP: 0010:fib_compute_spec_dst+0x17a/0x9f0 net/ipv4/fib_frontend.c:285 Call Trace: <TASK> spec_dst_fill net/ipv4/ip_options.c:232 spec_dst_fill net/ipv4/ip_options.c:229 __ip_options_compile+0x13a1/0x17d0 net/ipv4/ip_options.c:330 ipv4_send_dest_unreach net/ipv4/route.c:1252 ipv4_link_failure+0x702/0xb80 net/ipv4/route.c:1265 dst_link_failure include/net/dst.h:437 __ip_vs_get_out_rt+0x15fd/0x19e0 net/netfilter/ipvs/ip_vs_xmit.c:412 ip_vs_nat_xmit+0x1d8/0xc80 net/netfilter/ipvs/ip_vs_xmit.c:764 Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring: fix filename leak in __io_openat_prep() __io_openat_prep() allocates a struct filename using getname(). However, for the condition of the file being installed in the fixed file table as well as having O_CLOEXEC flag set, the function returns early. At that point, the request doesn't have REQ_F_NEED_CLEANUP flag set. Due to this, the memory for the newly allocated struct filename is not cleaned up, causing a memory leak. Fix this by setting the REQ_F_NEED_CLEANUP for the request just after the successful getname() call, so that when the request is torn down, the filename will be cleaned up, along with other resources needing cleanup. Уязвимость компонента io_uring ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: ets: Remove drr class from the active list if it changes to strict Whenever a user issues an ets qdisc change command, transforming a drr class into a strict one, the ets code isn't checking whether that class was in the active list and removing it. This means that, if a user changes a strict class (which was in the active list) back to a drr one, that class will be added twice to the active list [1]. Doing so with the following commands: tc qdisc add dev lo root handle 1: ets bands 2 strict 1 tc qdisc add dev lo parent 1:2 handle 20: \ tbf rate 8bit burst 100b latency 1s tc filter add dev lo parent 1: basic classid 1:2 ping -c1 -W0.01 -s 56 127.0.0.1 tc qdisc change dev lo root handle 1: ets bands 2 strict 2 tc qdisc change dev lo root handle 1: ets bands 2 strict 1 ping -c1 -W0.01 -s 56 127.0.0.1 Will trigger the following splat with list debug turned on: [ 59.279014][ T365] ------------[ cut here ]------------ [ 59.279452][ T365] list_add double add: new=ffff88801d60e350, prev=ffff88801d60e350, next=ffff88801d60e2c0. [ 59.280153][ T365] WARNING: CPU: 3 PID: 365 at lib/list_debug.c:35 __list_add_valid_or_report+0x17f/0x220 [ 59.280860][ T365] Modules linked in: [ 59.281165][ T365] CPU: 3 UID: 0 PID: 365 Comm: tc Not tainted 6.18.0-rc7-00105-g7e9f13163c13-dirty #239 PREEMPT(voluntary) [ 59.281977][ T365] Hardware name: Bochs Bochs, BIOS Bochs 01/01/2011 [ 59.282391][ T365] RIP: 0010:__list_add_valid_or_report+0x17f/0x220 [ 59.282842][ T365] Code: 89 c6 e8 d4 b7 0d ff 90 0f 0b 90 90 31 c0 e9 31 ff ff ff 90 48 c7 c7 e0 a0 22 9f 48 89 f2 48 89 c1 4c 89 c6 e8 b2 b7 0d ff 90 <0f> 0b 90 90 31 c0 e9 0f ff ff ff 48 89 f7 48 89 44 24 10 4c 89 44 ... [ 59.288812][ T365] Call Trace: [ 59.289056][ T365] <TASK> [ 59.289224][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.289546][ T365] ets_qdisc_change+0xd2b/0x1e80 [ 59.289891][ T365] ? __lock_acquire+0x7e7/0x1be0 [ 59.290223][ T365] ? __pfx_ets_qdisc_change+0x10/0x10 [ 59.290546][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.290898][ T365] ? __mutex_trylock_common+0xda/0x240 [ 59.291228][ T365] ? __pfx___mutex_trylock_common+0x10/0x10 [ 59.291655][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.291993][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.292313][ T365] ? trace_contention_end+0xc8/0x110 [ 59.292656][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.293022][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.293351][ T365] tc_modify_qdisc+0x63a/0x1cf0 Fix this by always checking and removing an ets class from the active list when changing it to strict. [1] https://git.kernel.org/pub/scm/linux/kernel/git/netdev/net.git/tree/net/sched/sch_ets.c?id=ce052b9402e461a9aded599f5b47e76bc727f7de#n663 Уязвимость компонента net/sched ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: fw_tracer, Validate format string parameters Add validation for format string parameters in the firmware tracer to prevent potential security vulnerabilities and crashes from malformed format strings received from firmware. The firmware tracer receives format strings from the device firmware and uses them to format trace messages. Without proper validation, bad firmware could provide format strings with invalid format specifiers (e.g., %s, %p, %n) that could lead to crashes, or other undefined behavior. Add mlx5_tracer_validate_params() to validate that all format specifiers in trace strings are limited to safe integer/hex formats (%x, %d, %i, %u, %llx, %lx, etc.). Reject strings containing other format types that could be used to access arbitrary memory or cause crashes. Invalid format strings are added to the trace output for visibility with "BAD_FORMAT: " prefix. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с недостаточной обработкой форматной строки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_tree_connect_put under concurrency Under high concurrency, A tree-connection object (tcon) is freed on a disconnect path while another path still holds a reference and later executes *_put()/write on it. Уязвимость компонента ksmbd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: Revert "scsi: qla2xxx: Perform lockless command completion in abort path" This reverts commit 0367076b0817d5c75dfb83001ce7ce5c64d803a9. The commit being reverted added code to __qla2x00_abort_all_cmds() to call sp->done() without holding a spinlock. But unlike the older code below it, this new code failed to check sp->cmd_type and just assumed TYPE_SRB, which results in a jump to an invalid pointer in target-mode with TYPE_TGT_CMD: qla2xxx [0000:65:00.0]-d034:8: qla24xx_do_nack_work create sess success 0000000009f7a79b qla2xxx [0000:65:00.0]-5003:8: ISP System Error - mbx1=1ff5h mbx2=10h mbx3=0h mbx4=0h mbx5=191h mbx6=0h mbx7=0h. qla2xxx [0000:65:00.0]-d01e:8: -> fwdump no buffer qla2xxx [0000:65:00.0]-f03a:8: qla_target(0): System error async event 0x8002 occurred qla2xxx [0000:65:00.0]-00af:8: Performing ISP error recovery - ha=0000000058183fda. BUG: kernel NULL pointer dereference, address: 0000000000000000 PF: supervisor instruction fetch in kernel mode PF: error_code(0x0010) - not-present page PGD 0 P4D 0 Oops: 0010 [#1] SMP CPU: 2 PID: 9446 Comm: qla2xxx_8_dpc Tainted: G O 6.1.133 #1 Hardware name: Supermicro Super Server/X11SPL-F, BIOS 4.2 12/15/2023 RIP: 0010:0x0 Code: Unable to access opcode bytes at 0xffffffffffffffd6. RSP: 0018:ffffc90001f93dc8 EFLAGS: 00010206 RAX: 0000000000000282 RBX: 0000000000000355 RCX: ffff88810d16a000 RDX: ffff88810dbadaa8 RSI: 0000000000080000 RDI: ffff888169dc38c0 RBP: ffff888169dc38c0 R08: 0000000000000001 R09: 0000000000000045 R10: ffffffffa034bdf0 R11: 0000000000000000 R12: ffff88810800bb40 R13: 0000000000001aa8 R14: ffff888100136610 R15: ffff8881070f7400 FS: 0000000000000000(0000) GS:ffff88bf80080000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffffffffd6 CR3: 000000010c8ff006 CR4: 00000000003706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __die+0x4d/0x8b ? page_fault_oops+0x91/0x180 ? trace_buffer_unlock_commit_regs+0x38/0x1a0 ? exc_page_fault+0x391/0x5e0 ? asm_exc_page_fault+0x22/0x30 __qla2x00_abort_all_cmds+0xcb/0x3e0 [qla2xxx_scst] qla2x00_abort_all_cmds+0x50/0x70 [qla2xxx_scst] qla2x00_abort_isp_cleanup+0x3b7/0x4b0 [qla2xxx_scst] qla2x00_abort_isp+0xfd/0x860 [qla2xxx_scst] qla2x00_do_dpc+0x581/0xa40 [qla2xxx_scst] kthread+0xa8/0xd0 </TASK> Then commit 4475afa2646d ("scsi: qla2xxx: Complete command early within lock") added the spinlock back, because not having the lock caused a race and a crash. But qla2x00_abort_srb() in the switch below already checks for qla2x00_chip_is_down() and handles it the same way, so the code above the switch is now redundant and still buggy in target-mode. Remove it. Уязвимость компонента scsi ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: dvb-usb: dtv5100: fix out-of-bounds in dtv5100_i2c_msg() rlen value is a user-controlled value, but dtv5100_i2c_msg() does not check the size of the rlen value. Therefore, if it is set to a value larger than sizeof(st->data), an out-of-bounds vuln occurs for st->data. Therefore, we need to add proper range checking to prevent this vuln. Уязвимость компонента media ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: xattr: fix null pointer deref in ext4_raw_inode() If ext4_get_inode_loc() fails (e.g. if it returns -EFSCORRUPTED), iloc.bh will remain set to NULL. Since ext4_xattr_inode_dec_ref_all() lacks error checking, this will lead to a null pointer dereference in ext4_raw_inode(), called right after ext4_get_inode_loc(). Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента ext4 ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fuse: fix readahead reclaim deadlock Commit e26ee4efbc79 ("fuse: allocate ff->release_args only if release is needed") skips allocating ff->release_args if the server does not implement open. However in doing so, fuse_prepare_release() now skips grabbing the reference on the inode, which makes it possible for an inode to be evicted from the dcache while there are inflight readahead requests. This causes a deadlock if the server triggers reclaim while servicing the readahead request and reclaim attempts to evict the inode of the file being read ahead. Since the folio is locked during readahead, when reclaim evicts the fuse inode and fuse_evict_inode() attempts to remove all folios associated with the inode from the page cache (truncate_inode_pages_range()), reclaim will block forever waiting for the lock since readahead cannot relinquish the lock because it is itself blocked in reclaim: >>> stack_trace(1504735) folio_wait_bit_common (mm/filemap.c:1308:4) folio_lock (./include/linux/pagemap.h:1052:3) truncate_inode_pages_range (mm/truncate.c:336:10) fuse_evict_inode (fs/fuse/inode.c:161:2) evict (fs/inode.c:704:3) dentry_unlink_inode (fs/dcache.c:412:3) __dentry_kill (fs/dcache.c:615:3) shrink_kill (fs/dcache.c:1060:12) shrink_dentry_list (fs/dcache.c:1087:3) prune_dcache_sb (fs/dcache.c:1168:2) super_cache_scan (fs/super.c:221:10) do_shrink_slab (mm/shrinker.c:435:9) shrink_slab (mm/shrinker.c:626:10) shrink_node (mm/vmscan.c:5951:2) shrink_zones (mm/vmscan.c:6195:3) do_try_to_free_pages (mm/vmscan.c:6257:3) do_swap_page (mm/memory.c:4136:11) handle_pte_fault (mm/memory.c:5562:10) handle_mm_fault (mm/memory.c:5870:9) do_user_addr_fault (arch/x86/mm/fault.c:1338:10) handle_page_fault (arch/x86/mm/fault.c:1481:3) exc_page_fault (arch/x86/mm/fault.c:1539:2) asm_exc_page_fault+0x22/0x27 Fix this deadlock by allocating ff->release_args and grabbing the reference on the inode when preparing the file for release even if the server does not implement open. The inode reference will be dropped when the last reference on the fuse file is dropped (see fuse_file_put() -> fuse_release_end()). Уязвимость ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 python3.11 Python-Markdown version 3.8 contain a vulnerability where malformed HTML-like sequences can cause html.parser.HTMLParser to raise an unhandled AssertionError during Markdown parsing. Because Python-Markdown does not catch this exception, any application that processes attacker-controlled Markdown may crash. This enables remote, unauthenticated Denial of Service in web applications, documentation systems, CI/CD pipelines, and any service that renders untrusted Markdown. The issue was acknowledged by the vendor and fixed in version 3.8.1. This issue causes a remote Denial of Service in any application parsing untrusted Markdown, and can lead to Information Disclosure through uncaught exceptions. Уязвимость компонента Lib/html/parser.py интерпретатора языка программирования Python связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью искажённой HTML страницы [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python-apt NULL pointer dereference in TagSection.keys() in python-apt on APT-based Linux systems allows a local attacker to cause a denial of service (process crash) via a crafted deb822 file with a malformed non-UTF-8 key. Уязвимость функции TagSection.keys() компонента tag.cc модуля для установки пакетов Python APT связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного deb822 файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 3.8 glib2.0 A flaw was found in glib. An integer overflow during temporary file creation leads to an out-of-bounds memory access, allowing an attacker to potentially perform path traversal or access private temporary file content by creating symbolic links. This vulnerability allows a local attacker to manipulate file paths and access unauthorized data. The core issue stems from insufficient validation of file path lengths during temporary file operations. Уязвимость набора библиотек GLib связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: using the num_tqps in the vf driver to apply for resources Currently, hdev->htqp is allocated using hdev->num_tqps, and kinfo->tqp is allocated using kinfo->num_tqps. However, kinfo->num_tqps is set to min(new_tqps, hdev->num_tqps); Therefore, kinfo->num_tqps may be smaller than hdev->num_tqps, which causes some hdev->htqp[i] to remain uninitialized in hclgevf_knic_setup(). Thus, this patch allocates hdev->htqp and kinfo->tqp using hdev->num_tqps, ensuring that the lengths of hdev->htqp and kinfo->tqp are consistent and that all elements are properly initialized. Уязвимость ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: ets: Always remove class from active list before deleting in ets_qdisc_change zdi-disclosures@trendmicro.com says: The vulnerability is a race condition between `ets_qdisc_dequeue` and `ets_qdisc_change`. It leads to UAF on `struct Qdisc` object. Attacker requires the capability to create new user and network namespace in order to trigger the bug. See my additional commentary at the end of the analysis. Analysis: static int ets_qdisc_change(struct Qdisc *sch, struct nlattr *opt, struct netlink_ext_ack *extack) { ... // (1) this lock is preventing .change handler (`ets_qdisc_change`) //to race with .dequeue handler (`ets_qdisc_dequeue`) sch_tree_lock(sch); for (i = nbands; i < oldbands; i++) { if (i >= q->nstrict && q->classes[i].qdisc->q.qlen) list_del_init(&q->classes[i].alist); qdisc_purge_queue(q->classes[i].qdisc); } WRITE_ONCE(q->nbands, nbands); for (i = nstrict; i < q->nstrict; i++) { if (q->classes[i].qdisc->q.qlen) { // (2) the class is added to the q->active list_add_tail(&q->classes[i].alist, &q->active); q->classes[i].deficit = quanta[i]; } } WRITE_ONCE(q->nstrict, nstrict); memcpy(q->prio2band, priomap, sizeof(priomap)); for (i = 0; i < q->nbands; i++) WRITE_ONCE(q->classes[i].quantum, quanta[i]); for (i = oldbands; i < q->nbands; i++) { q->classes[i].qdisc = queues[i]; if (q->classes[i].qdisc != &noop_qdisc) qdisc_hash_add(q->classes[i].qdisc, true); } // (3) the qdisc is unlocked, now dequeue can be called in parallel // to the rest of .change handler sch_tree_unlock(sch); ets_offload_change(sch); for (i = q->nbands; i < oldbands; i++) { // (4) we're reducing the refcount for our class's qdisc and // freeing it qdisc_put(q->classes[i].qdisc); // (5) If we call .dequeue between (4) and (5), we will have // a strong UAF and we can control RIP q->classes[i].qdisc = NULL; WRITE_ONCE(q->classes[i].quantum, 0); q->classes[i].deficit = 0; gnet_stats_basic_sync_init(&q->classes[i].bstats); memset(&q->classes[i].qstats, 0, sizeof(q->classes[i].qstats)); } return 0; } Comment: This happens because some of the classes have their qdiscs assigned to NULL, but remain in the active list. This commit fixes this issue by always removing the class from the active list before deleting and freeing its associated qdisc Reproducer Steps (trimmed version of what was sent by zdi-disclosures@trendmicro.com) ``` DEV="${DEV:-lo}" ROOT_HANDLE="${ROOT_HANDLE:-1:}" BAND2_HANDLE="${BAND2_HANDLE:-20:}" # child under 1:2 PING_BYTES="${PING_BYTES:-48}" PING_COUNT="${PING_COUNT:-200000}" PING_DST="${PING_DST:-127.0.0.1}" SLOW_TBF_RATE="${SLOW_TBF_RATE:-8bit}" SLOW_TBF_BURST="${SLOW_TBF_BURST:-100b}" SLOW_TBF_LAT="${SLOW_TBF_LAT:-1s}" cleanup() { tc qdisc del dev "$DEV" root 2>/dev/null } trap cleanup EXIT ip link set "$DEV" up tc qdisc del dev "$DEV" root 2>/dev/null || true tc qdisc add dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 2 tc qdisc add dev "$DEV" parent 1:2 handle "$BAND2_HANDLE" \ tbf rate "$SLOW_TBF_RATE" burst "$SLOW_TBF_BURST" latency "$SLOW_TBF_LAT" tc filter add dev "$DEV" parent 1: protocol all prio 1 u32 match u32 0 0 flowid 1:2 tc -s qdisc ls dev $DEV ping -I "$DEV" -f -c "$PING_COUNT" -s "$PING_BYTES" -W 0.001 "$PING_DST" \ >/dev/null 2>&1 & tc qdisc change dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 0 tc qdisc change dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 2 tc -s qdisc ls dev $DEV tc qdisc del dev "$DEV" parent ---truncated--- Уязвимость функции ets_qdisc_change() в модуле net/sched/sch_ets.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: invalidate dentry cache on failed whiteout creation F2FS can mount filesystems with corrupted directory depth values that get runtime-clamped to MAX_DIR_HASH_DEPTH. When RENAME_WHITEOUT operations are performed on such directories, f2fs_rename performs directory modifications (updating target entry and deleting source entry) before attempting to add the whiteout entry via f2fs_add_link. If f2fs_add_link fails due to the corrupted directory structure, the function returns an error to VFS, but the partial directory modifications have already been committed to disk. VFS assumes the entire rename operation failed and does not update the dentry cache, leaving stale mappings. In the error path, VFS does not call d_move() to update the dentry cache. This results in new_dentry still pointing to the old inode (new_inode) which has already had its i_nlink decremented to zero. The stale cache causes subsequent operations to incorrectly reference the freed inode. This causes subsequent operations to use cached dentry information that no longer matches the on-disk state. When a second rename targets the same entry, VFS attempts to decrement i_nlink on the stale inode, which may already have i_nlink=0, triggering a WARNING in drop_nlink(). Example sequence: 1. First rename (RENAME_WHITEOUT): file2 → file1 - f2fs updates file1 entry on disk (points to inode 8) - f2fs deletes file2 entry on disk - f2fs_add_link(whiteout) fails (corrupted directory) - Returns error to VFS - VFS does not call d_move() due to error - VFS cache still has: file1 → inode 7 (stale!) - inode 7 has i_nlink=0 (already decremented) 2. Second rename: file3 → file1 - VFS uses stale cache: file1 → inode 7 - Tries to drop_nlink on inode 7 (i_nlink already 0) - WARNING in drop_nlink() Fix this by explicitly invalidating old_dentry and new_dentry when f2fs_add_link fails during whiteout creation. This forces VFS to refresh from disk on subsequent operations, ensuring cache consistency even when the rename partially succeeds. Reproducer: 1. Mount F2FS image with corrupted i_current_depth 2. renameat2(file2, file1, RENAME_WHITEOUT) 3. renameat2(file3, file1, 0) 4. System triggers WARNING in drop_nlink() Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/mediatek: fix use-after-free on probe deferral The driver is dropping the references taken to the larb devices during probe after successful lookup as well as on errors. This can potentially lead to a use-after-free in case a larb device has not yet been bound to its driver so that the iommu driver probe defers. Fix this by keeping the references as expected while the iommu driver is bound. Уязвимость компонента iommu/mediatek ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: aic94xx: fix use-after-free in device removal path The asd_pci_remove() function fails to synchronize with pending tasklets before freeing the asd_ha structure, leading to a potential use-after-free vulnerability. When a device removal is triggered (via hot-unplug or module unload), race condition can occur. The fix adds tasklet_kill() before freeing the asd_ha structure, ensuring all scheduled tasklets complete before cleanup proceeds. Уязвимость компонента scsi ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tpm: Cap the number of PCR banks tpm2_get_pcr_allocation() does not cap any upper limit for the number of banks. Cap the limit to eight banks so that out of bounds values coming from external I/O cause on only limited harm. Уязвимость компонента tpm ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/64s/slb: Fix SLB multihit issue during SLB preload On systems using the hash MMU, there is a software SLB preload cache that mirrors the entries loaded into the hardware SLB buffer. This preload cache is subject to periodic eviction — typically after every 256 context switches — to remove old entry. To optimize performance, the kernel skips switch_mmu_context() in switch_mm_irqs_off() when the prev and next mm_struct are the same. However, on hash MMU systems, this can lead to inconsistencies between the hardware SLB and the software preload cache. If an SLB entry for a process is evicted from the software cache on one CPU, and the same process later runs on another CPU without executing switch_mmu_context(), the hardware SLB may retain stale entries. If the kernel then attempts to reload that entry, it can trigger an SLB multi-hit error. The following timeline shows how stale SLB entries are created and can cause a multi-hit error when a process moves between CPUs without a MMU context switch. CPU 0 CPU 1 ----- ----- Process P exec swapper/1 load_elf_binary begin_new_exc activate_mm switch_mm_irqs_off switch_mmu_context switch_slb /* * This invalidates all * the entries in the HW * and setup the new HW * SLB entries as per the * preload cache. */ context_switch sched_migrate_task migrates process P to cpu-1 Process swapper/0 context switch (to process P) (uses mm_struct of Process P) switch_mm_irqs_off() switch_slb load_slb++ /* * load_slb becomes 0 here * and we evict an entry from * the preload cache with * preload_age(). We still * keep HW SLB and preload * cache in sync, that is * because all HW SLB entries * anyways gets evicted in * switch_slb during SLBIA. * We then only add those * entries back in HW SLB, * which are currently * present in preload_cache * (after eviction). */ load_elf_binary continues... setup_new_exec() slb_setup_new_exec() sched_switch event sched_migrate_task migrates process P to cpu-0 context_switch from swapper/0 to Process P switch_mm_irqs_off() /* * Since both prev and next mm struct are same we don't call * switch_mmu_context(). This will cause the HW SLB and SW preload * cache to go out of sync in preload_new_slb_context. Because there * was an SLB entry which was evicted from both HW and preload cache * on cpu-1. Now later in preload_new_slb_context(), when we will try * to add the same preload entry again, we will add this to the SW * preload cache and then will add it to the HW SLB. Since on cpu-0 * this entry was never invalidated, hence adding this entry to the HW * SLB will cause a SLB multi-hit error. */ load_elf_binary cont ---truncated--- Уязвимость компонента powerpc/64s/slb CPU ядра операционной системы Linux связана с состоянием гонки, связанным с переключением контекста. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: nfc: fix deadlock between nfc_unregister_device and rfkill_fop_write A deadlock can occur between nfc_unregister_device() and rfkill_fop_write() due to lock ordering inversion between device_lock and rfkill_global_mutex. The problematic lock order is: Thread A (rfkill_fop_write): rfkill_fop_write() mutex_lock(&rfkill_global_mutex) rfkill_set_block() nfc_rfkill_set_block() nfc_dev_down() device_lock(&dev->dev) <- waits for device_lock Thread B (nfc_unregister_device): nfc_unregister_device() device_lock(&dev->dev) rfkill_unregister() mutex_lock(&rfkill_global_mutex) <- waits for rfkill_global_mutex This creates a classic ABBA deadlock scenario. Fix this by moving rfkill_unregister() and rfkill_destroy() outside the device_lock critical section. Store the rfkill pointer in a local variable before releasing the lock, then call rfkill_unregister() after releasing device_lock. This change is safe because rfkill_fop_write() holds rfkill_global_mutex while calling the rfkill callbacks, and rfkill_unregister() also acquires rfkill_global_mutex before cleanup. Therefore, rfkill_unregister() will wait for any ongoing callback to complete before proceeding, and device_del() is only called after rfkill_unregister() returns, preventing any use-after-free. The similar lock ordering in nfc_register_device() (device_lock -> rfkill_global_mutex via rfkill_register) is safe because during registration the device is not yet in rfkill_list, so no concurrent rfkill operations can occur on this device. Уязвимость компонента net/nfc ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: stm32: sai: fix OF node leak on probe The reference taken to the sync provider OF node when probing the platform device is currently only dropped if the set_sync() callback fails during DAI probe. Make sure to drop the reference on platform probe failures (e.g. probe deferral) and on driver unbind. This also avoids a potential use-after-free in case the DAI is ever reprobed without first rebinding the platform driver. Уязвимость компонента stm32 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: revert use of devm_kzalloc in btusb This reverts commit 98921dbd00c4e ("Bluetooth: Use devm_kzalloc in btusb.c file"). In btusb_probe(), we use devm_kzalloc() to allocate the btusb data. This ties the lifetime of all the btusb data to the binding of a driver to one interface, INTF. In a driver that binds to other interfaces, ISOC and DIAG, this is an accident waiting to happen. The issue is revealed in btusb_disconnect(), where calling usb_driver_release_interface(&btusb_driver, data->intf) will have devm free the data that is also being used by the other interfaces of the driver that may not be released yet. To fix this, revert the use of devm and go back to freeing memory explicitly. Уязвимость модуля Bluetooth ядра операционной системы Linux связана с преждевременным освобождением ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/ttm: Avoid NULL pointer deref for evicted BOs It is possible for a BO to exist that is not currently associated with a resource, e.g. because it has been evicted. When devcoredump tries to read the contents of all BOs for dumping, we need to expect this as well -- in this case, ENODATA is recorded instead of the buffer contents. Уязвимость компонента drm/ttm ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/cm: Fix leaking the multicast GID table reference If the CM ID is destroyed while the CM event for multicast creating is still queued the cancel_work_sync() will prevent the work from running which also prevents destroying the ah_attr. This leaks a refcount and triggers a WARN: GID entry ref leak for dev syz1 index 2 ref=573 WARNING: CPU: 1 PID: 655 at drivers/infiniband/core/cache.c:809 release_gid_table drivers/infiniband/core/cache.c:806 [inline] WARNING: CPU: 1 PID: 655 at drivers/infiniband/core/cache.c:809 gid_table_release_one+0x284/0x3cc drivers/infiniband/core/cache.c:886 Destroy the ah_attr after canceling the work, it is safe to call this twice. Уязвимость компонента RDMA/cm ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: BUG() in pskb_expand_head() as part of calipso_skbuff_setattr() There exists a kernel oops caused by a BUG_ON(nhead < 0) at net/core/skbuff.c:2232 in pskb_expand_head(). This bug is triggered as part of the calipso_skbuff_setattr() routine when skb_cow() is passed headroom > INT_MAX (i.e. (int)(skb_headroom(skb) + len_delta) < 0). The root cause of the bug is due to an implicit integer cast in __skb_cow(). The check (headroom > skb_headroom(skb)) is meant to ensure that delta = headroom - skb_headroom(skb) is never negative, otherwise we will trigger a BUG_ON in pskb_expand_head(). However, if headroom > INT_MAX and delta <= -NET_SKB_PAD, the check passes, delta becomes negative, and pskb_expand_head() is passed a negative value for nhead. Fix the trigger condition in calipso_skbuff_setattr(). Avoid passing "negative" headroom sizes to skb_cow() within calipso_skbuff_setattr() by only using skb_cow() to grow headroom. PoC: Using `netlabelctl` tool: netlabelctl map del default netlabelctl calipso add pass doi:7 netlabelctl map add default address:0::1/128 protocol:calipso,7 Then run the following PoC: int fd = socket(AF_INET6, SOCK_DGRAM, IPPROTO_UDP); // setup msghdr int cmsg_size = 2; int cmsg_len = 0x60; struct msghdr msg; struct sockaddr_in6 dest_addr; struct cmsghdr * cmsg = (struct cmsghdr *) calloc(1, sizeof(struct cmsghdr) + cmsg_len); msg.msg_name = &dest_addr; msg.msg_namelen = sizeof(dest_addr); msg.msg_iov = NULL; msg.msg_iovlen = 0; msg.msg_control = cmsg; msg.msg_controllen = cmsg_len; msg.msg_flags = 0; // setup sockaddr dest_addr.sin6_family = AF_INET6; dest_addr.sin6_port = htons(31337); dest_addr.sin6_flowinfo = htonl(31337); dest_addr.sin6_addr = in6addr_loopback; dest_addr.sin6_scope_id = 31337; // setup cmsghdr cmsg->cmsg_len = cmsg_len; cmsg->cmsg_level = IPPROTO_IPV6; cmsg->cmsg_type = IPV6_HOPOPTS; char * hop_hdr = (char *)cmsg + sizeof(struct cmsghdr); hop_hdr[1] = 0x9; //set hop size - (0x9 + 1) * 8 = 80 sendmsg(fd, &msg, 0); Уязвимость функции calipso_skbuff_setattr() в модуле net/ipv6/calipso.c реализации протокола IPv6 ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: rose: fix invalid array index in rose_kill_by_device() rose_kill_by_device() collects sockets into a local array[] and then iterates over them to disconnect sockets bound to a device being brought down. The loop mistakenly indexes array[cnt] instead of array[i]. For cnt < ARRAY_SIZE(array), this reads an uninitialized entry; for cnt == ARRAY_SIZE(array), it is an out-of-bounds read. Either case can lead to an invalid socket pointer dereference and also leaks references taken via sock_hold(). Fix the index to use i. Уязвимость функции rose_kill_by_device() модуля net/rose/af_rose.c ядра операционной системы Linux связана с выходом за пределы выделенного на стеке буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iavf: fix off-by-one issues in iavf_config_rss_reg() There are off-by-one bugs when configuring RSS hash key and lookup table, causing out-of-bounds reads to memory [1] and out-of-bounds writes to device registers. Before commit 43a3d9ba34c9 ("i40evf: Allow PF driver to configure RSS"), the loop upper bounds were: i <= I40E_VFQF_{HKEY,HLUT}_MAX_INDEX which is safe since the value is the last valid index. That commit changed the bounds to: i <= adapter->rss_{key,lut}_size / 4 where `rss_{key,lut}_size / 4` is the number of dwords, so the last valid index is `(rss_{key,lut}_size / 4) - 1`. Therefore, using `<=` accesses one element past the end. Fix the issues by using `<` instead of `<=`, ensuring we do not exceed the bounds. [1] KASAN splat about rss_key_size off-by-one BUG: KASAN: slab-out-of-bounds in iavf_config_rss+0x619/0x800 Read of size 4 at addr ffff888102c50134 by task kworker/u8:6/63 CPU: 0 UID: 0 PID: 63 Comm: kworker/u8:6 Not tainted 6.18.0-rc2-enjuk-tnguy-00378-g3005f5b77652-dirty #156 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Workqueue: iavf iavf_watchdog_task Call Trace: <TASK> dump_stack_lvl+0x6f/0xb0 print_report+0x170/0x4f3 kasan_report+0xe1/0x1a0 iavf_config_rss+0x619/0x800 iavf_watchdog_task+0x2be7/0x3230 process_one_work+0x7fd/0x1420 worker_thread+0x4d1/0xd40 kthread+0x344/0x660 ret_from_fork+0x249/0x320 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 63: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 __kmalloc_noprof+0x246/0x6f0 iavf_watchdog_task+0x28fc/0x3230 process_one_work+0x7fd/0x1420 worker_thread+0x4d1/0xd40 kthread+0x344/0x660 ret_from_fork+0x249/0x320 ret_from_fork_asm+0x1a/0x30 The buggy address belongs to the object at ffff888102c50100 which belongs to the cache kmalloc-64 of size 64 The buggy address is located 0 bytes to the right of allocated 52-byte region [ffff888102c50100, ffff888102c50134) The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x102c50 flags: 0x200000000000000(node=0|zone=2) page_type: f5(slab) raw: 0200000000000000 ffff8881000418c0 dead000000000122 0000000000000000 raw: 0000000000000000 0000000080200020 00000000f5000000 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888102c50000: 00 00 00 00 00 00 00 fc fc fc fc fc fc fc fc fc ffff888102c50080: 00 00 00 00 00 00 00 fc fc fc fc fc fc fc fc fc >ffff888102c50100: 00 00 00 00 00 00 04 fc fc fc fc fc fc fc fc fc ^ ffff888102c50180: 00 00 00 00 00 00 00 00 fc fc fc fc fc fc fc fc ffff888102c50200: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc Уязвимость компонента iavf ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fallback earlier on simult connection Syzkaller reports a simult-connect race leading to inconsistent fallback status: WARNING: CPU: 3 PID: 33 at net/mptcp/subflow.c:1515 subflow_data_ready+0x40b/0x7c0 net/mptcp/subflow.c:1515 Modules linked in: CPU: 3 UID: 0 PID: 33 Comm: ksoftirqd/3 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:subflow_data_ready+0x40b/0x7c0 net/mptcp/subflow.c:1515 Code: 89 ee e8 78 61 3c f6 40 84 ed 75 21 e8 8e 66 3c f6 44 89 fe bf 07 00 00 00 e8 c1 61 3c f6 41 83 ff 07 74 09 e8 76 66 3c f6 90 <0f> 0b 90 e8 6d 66 3c f6 48 89 df e8 e5 ad ff ff 31 ff 89 c5 89 c6 RSP: 0018:ffffc900006cf338 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff888031acd100 RCX: ffffffff8b7f2abf RDX: ffff88801e6ea440 RSI: ffffffff8b7f2aca RDI: 0000000000000005 RBP: 0000000000000000 R08: 0000000000000005 R09: 0000000000000007 R10: 0000000000000004 R11: 0000000000002c10 R12: ffff88802ba69900 R13: 1ffff920000d9e67 R14: ffff888046f81800 R15: 0000000000000004 FS: 0000000000000000(0000) GS:ffff8880d69bc000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000560fc0ca1670 CR3: 0000000032c3a000 CR4: 0000000000352ef0 Call Trace: <TASK> tcp_data_queue+0x13b0/0x4f90 net/ipv4/tcp_input.c:5197 tcp_rcv_state_process+0xfdf/0x4ec0 net/ipv4/tcp_input.c:6922 tcp_v6_do_rcv+0x492/0x1740 net/ipv6/tcp_ipv6.c:1672 tcp_v6_rcv+0x2976/0x41e0 net/ipv6/tcp_ipv6.c:1918 ip6_protocol_deliver_rcu+0x188/0x1520 net/ipv6/ip6_input.c:438 ip6_input_finish+0x1e4/0x4b0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] ip6_input+0x105/0x2f0 net/ipv6/ip6_input.c:500 dst_input include/net/dst.h:471 [inline] ip6_rcv_finish net/ipv6/ip6_input.c:79 [inline] NF_HOOK include/linux/netfilter.h:318 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] ipv6_rcv+0x264/0x650 net/ipv6/ip6_input.c:311 __netif_receive_skb_one_core+0x12d/0x1e0 net/core/dev.c:5979 __netif_receive_skb+0x1d/0x160 net/core/dev.c:6092 process_backlog+0x442/0x15e0 net/core/dev.c:6444 __napi_poll.constprop.0+0xba/0x550 net/core/dev.c:7494 napi_poll net/core/dev.c:7557 [inline] net_rx_action+0xa9f/0xfe0 net/core/dev.c:7684 handle_softirqs+0x216/0x8e0 kernel/softirq.c:579 run_ksoftirqd kernel/softirq.c:968 [inline] run_ksoftirqd+0x3a/0x60 kernel/softirq.c:960 smpboot_thread_fn+0x3f7/0xae0 kernel/smpboot.c:160 kthread+0x3c2/0x780 kernel/kthread.c:463 ret_from_fork+0x5d7/0x6f0 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> The TCP subflow can process the simult-connect syn-ack packet after transitioning to TCP_FIN1 state, bypassing the MPTCP fallback check, as the sk_state_change() callback is not invoked for * -> FIN_WAIT1 transitions. That will move the msk socket to an inconsistent status and the next incoming data will hit the reported splat. Close the race moving the simult-fallback check at the earliest possible stage - that is at syn-ack generation time. About the fixes tags: [2] was supposed to also fix this issue introduced by [3]. [1] is required as a dependence: it was not explicitly marked as a fix, but it is one and it has already been backported before [3]. In other words, this commit should be backported up to [3], including [2] and [1] if that's not already there. Уязвимость компонента net/mptcp/subflow.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: team: fix check for port enabled in team_queue_override_port_prio_changed() There has been a syzkaller bug reported recently with the following trace: list_del corruption, ffff888058bea080->prev is LIST_POISON2 (dead000000000122) ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:59! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI CPU: 3 UID: 0 PID: 21246 Comm: syz.0.2928 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:__list_del_entry_valid_or_report+0x13e/0x200 lib/list_debug.c:59 Code: 48 c7 c7 e0 71 f0 8b e8 30 08 ef fc 90 0f 0b 48 89 ef e8 a5 02 55 fd 48 89 ea 48 89 de 48 c7 c7 40 72 f0 8b e8 13 08 ef fc 90 <0f> 0b 48 89 ef e8 88 02 55 fd 48 89 ea 48 b8 00 00 00 00 00 fc ff RSP: 0018:ffffc9000d49f370 EFLAGS: 00010286 RAX: 000000000000004e RBX: ffff888058bea080 RCX: ffffc9002817d000 RDX: 0000000000000000 RSI: ffffffff819becc6 RDI: 0000000000000005 RBP: dead000000000122 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000080000000 R11: 0000000000000001 R12: ffff888039e9c230 R13: ffff888058bea088 R14: ffff888058bea080 R15: ffff888055461480 FS: 00007fbbcfe6f6c0(0000) GS:ffff8880d6d0a000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000110c3afcb0 CR3: 00000000382c7000 CR4: 0000000000352ef0 Call Trace: <TASK> __list_del_entry_valid include/linux/list.h:132 [inline] __list_del_entry include/linux/list.h:223 [inline] list_del_rcu include/linux/rculist.h:178 [inline] __team_queue_override_port_del drivers/net/team/team_core.c:826 [inline] __team_queue_override_port_del drivers/net/team/team_core.c:821 [inline] team_queue_override_port_prio_changed drivers/net/team/team_core.c:883 [inline] team_priority_option_set+0x171/0x2f0 drivers/net/team/team_core.c:1534 team_option_set drivers/net/team/team_core.c:376 [inline] team_nl_options_set_doit+0x8ae/0xe60 drivers/net/team/team_core.c:2653 genl_family_rcv_msg_doit+0x209/0x2f0 net/netlink/genetlink.c:1115 genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x55c/0x800 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x158/0x420 net/netlink/af_netlink.c:2552 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0x5aa/0x870 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x8c8/0xdd0 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa98/0xc70 net/socket.c:2630 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2684 __sys_sendmsg+0x16d/0x220 net/socket.c:2716 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f The problem is in this flow: 1) Port is enabled, queue_id != 0, in qom_list 2) Port gets disabled -> team_port_disable() -> team_queue_override_port_del() -> del (removed from list) 3) Port is disabled, queue_id != 0, not in any list 4) Priority changes -> team_queue_override_port_prio_changed() -> checks: port disabled && queue_id != 0 -> calls del - hits the BUG as it is removed already To fix this, change the check in team_queue_override_port_prio_changed() so it returns early if port is not enabled. Уязвимость компонента team/team_core.c ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: e1000: fix OOB in e1000_tbi_should_accept() In e1000_tbi_should_accept() we read the last byte of the frame via 'data[length - 1]' to evaluate the TBI workaround. If the descriptor- reported length is zero or larger than the actual RX buffer size, this read goes out of bounds and can hit unrelated slab objects. The issue is observed from the NAPI receive path (e1000_clean_rx_irq): ================================================================== BUG: KASAN: slab-out-of-bounds in e1000_tbi_should_accept+0x610/0x790 Read of size 1 at addr ffff888014114e54 by task sshd/363 CPU: 0 PID: 363 Comm: sshd Not tainted 5.18.0-rc1 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.12.0-59-gc9ba5276e321-prebuilt.qemu.org 04/01/2014 Call Trace: <IRQ> dump_stack_lvl+0x5a/0x74 print_address_description+0x7b/0x440 print_report+0x101/0x200 kasan_report+0xc1/0xf0 e1000_tbi_should_accept+0x610/0x790 e1000_clean_rx_irq+0xa8c/0x1110 e1000_clean+0xde2/0x3c10 __napi_poll+0x98/0x380 net_rx_action+0x491/0xa20 __do_softirq+0x2c9/0x61d do_softirq+0xd1/0x120 </IRQ> <TASK> __local_bh_enable_ip+0xfe/0x130 ip_finish_output2+0x7d5/0xb00 __ip_queue_xmit+0xe24/0x1ab0 __tcp_transmit_skb+0x1bcb/0x3340 tcp_write_xmit+0x175d/0x6bd0 __tcp_push_pending_frames+0x7b/0x280 tcp_sendmsg_locked+0x2e4f/0x32d0 tcp_sendmsg+0x24/0x40 sock_write_iter+0x322/0x430 vfs_write+0x56c/0xa60 ksys_write+0xd1/0x190 do_syscall_64+0x43/0x90 entry_SYSCALL_64_after_hwframe+0x44/0xae RIP: 0033:0x7f511b476b10 Code: 73 01 c3 48 8b 0d 88 d3 2b 00 f7 d8 64 89 01 48 83 c8 ff c3 66 0f 1f 44 00 00 83 3d f9 2b 2c 00 00 75 10 b8 01 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 31 c3 48 83 ec 08 e8 8e 9b 01 00 48 89 04 24 RSP: 002b:00007ffc9211d4e8 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000004024 RCX: 00007f511b476b10 RDX: 0000000000004024 RSI: 0000559a9385962c RDI: 0000000000000003 RBP: 0000559a9383a400 R08: fffffffffffffff0 R09: 0000000000004f00 R10: 0000000000000070 R11: 0000000000000246 R12: 0000000000000000 R13: 00007ffc9211d57f R14: 0000559a9347bde7 R15: 0000000000000003 </TASK> Allocated by task 1: __kasan_krealloc+0x131/0x1c0 krealloc+0x90/0xc0 add_sysfs_param+0xcb/0x8a0 kernel_add_sysfs_param+0x81/0xd4 param_sysfs_builtin+0x138/0x1a6 param_sysfs_init+0x57/0x5b do_one_initcall+0x104/0x250 do_initcall_level+0x102/0x132 do_initcalls+0x46/0x74 kernel_init_freeable+0x28f/0x393 kernel_init+0x14/0x1a0 ret_from_fork+0x22/0x30 The buggy address belongs to the object at ffff888014114000 which belongs to the cache kmalloc-2k of size 2048 The buggy address is located 1620 bytes to the right of 2048-byte region [ffff888014114000, ffff888014114800] The buggy address belongs to the physical page: page:ffffea0000504400 refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x14110 head:ffffea0000504400 order:3 compound_mapcount:0 compound_pincount:0 flags: 0x100000000010200(slab|head|node=0|zone=1) raw: 0100000000010200 0000000000000000 dead000000000001 ffff888013442000 raw: 0000000000000000 0000000000080008 00000001ffffffff 0000000000000000 page dumped because: kasan: bad access detected ================================================================== This happens because the TBI check unconditionally dereferences the last byte without validating the reported length first: u8 last_byte = *(data + length - 1); Fix by rejecting the frame early if the length is zero, or if it exceeds adapter->rx_buffer_len. This preserves the TBI workaround semantics for valid frames and prevents touching memory beyond the RX buffer. Уязвимость компонента intel/e1000/e1000_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix: validate PHY address before use The ASIX driver reads the PHY address from the USB device via asix_read_phy_addr(). A malicious or faulty device can return an invalid address (>= PHY_MAX_ADDR), which causes a warning in mdiobus_get_phy(): addr 207 out of range WARNING: drivers/net/phy/mdio_bus.c:76 Validate the PHY address in asix_read_phy_addr() and remove the now-redundant check in ax88172a.c. Уязвимость компонента usb/asix_common.c ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: fix the crash issue for zero copy XDP_TX action There is a crash issue when running zero copy XDP_TX action, the crash log is shown below. [ 216.122464] Unable to handle kernel paging request at virtual address fffeffff80000000 [ 216.187524] Internal error: Oops: 0000000096000144 [#1] SMP [ 216.301694] Call trace: [ 216.304130] dcache_clean_poc+0x20/0x38 (P) [ 216.308308] __dma_sync_single_for_device+0x1bc/0x1e0 [ 216.313351] stmmac_xdp_xmit_xdpf+0x354/0x400 [ 216.317701] __stmmac_xdp_run_prog+0x164/0x368 [ 216.322139] stmmac_napi_poll_rxtx+0xba8/0xf00 [ 216.326576] __napi_poll+0x40/0x218 [ 216.408054] Kernel panic - not syncing: Oops: Fatal exception in interrupt For XDP_TX action, the xdp_buff is converted to xdp_frame by xdp_convert_buff_to_frame(). The memory type of the resulting xdp_frame depends on the memory type of the xdp_buff. For page pool based xdp_buff it produces xdp_frame with memory type MEM_TYPE_PAGE_POOL. For zero copy XSK pool based xdp_buff it produces xdp_frame with memory type MEM_TYPE_PAGE_ORDER0. However, stmmac_xdp_xmit_back() does not check the memory type and always uses the page pool type, this leads to invalid mappings and causes the crash. Therefore, check the xdp_buff memory type in stmmac_xdp_xmit_back() to fix this issue. Уязвимость компонента stmmac/stmmac_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Check for the presence of LS_NLA_TYPE_DGID correctly The netlink response for RDMA_NL_LS_OP_IP_RESOLVE should always have a LS_NLA_TYPE_DGID attribute, it is invalid if it does not. Use the nl parsing logic properly and call nla_parse_deprecated() to fill the nlattrs array and then directly index that array to get the data for the DGID. Just fail if it is NULL. Remove the for loop searching for the nla, and squash the validation and parsing into one function. Fixes an uninitialized read from the stack triggered by userspace if it does not provide the DGID to a kernel initiated RDMA_NL_LS_OP_IP_RESOLVE query. BUG: KMSAN: uninit-value in hex_byte_pack include/linux/hex.h:13 [inline] BUG: KMSAN: uninit-value in ip6_string+0xef4/0x13a0 lib/vsprintf.c:1490 hex_byte_pack include/linux/hex.h:13 [inline] ip6_string+0xef4/0x13a0 lib/vsprintf.c:1490 ip6_addr_string+0x18a/0x3e0 lib/vsprintf.c:1509 ip_addr_string+0x245/0xee0 lib/vsprintf.c:1633 pointer+0xc09/0x1bd0 lib/vsprintf.c:2542 vsnprintf+0xf8a/0x1bd0 lib/vsprintf.c:2930 vprintk_store+0x3ae/0x1530 kernel/printk/printk.c:2279 vprintk_emit+0x307/0xcd0 kernel/printk/printk.c:2426 vprintk_default+0x3f/0x50 kernel/printk/printk.c:2465 vprintk+0x36/0x50 kernel/printk/printk_safe.c:82 _printk+0x17e/0x1b0 kernel/printk/printk.c:2475 ib_nl_process_good_ip_rsep drivers/infiniband/core/addr.c:128 [inline] ib_nl_handle_ip_res_resp+0x963/0x9d0 drivers/infiniband/core/addr.c:141 rdma_nl_rcv_msg drivers/infiniband/core/netlink.c:-1 [inline] rdma_nl_rcv_skb drivers/infiniband/core/netlink.c:239 [inline] rdma_nl_rcv+0xefa/0x11c0 drivers/infiniband/core/netlink.c:259 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0xf04/0x12b0 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x10b3/0x1250 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x333/0x3d0 net/socket.c:729 ____sys_sendmsg+0x7e0/0xd80 net/socket.c:2617 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2671 __sys_sendmsg+0x1aa/0x300 net/socket.c:2703 __compat_sys_sendmsg net/compat.c:346 [inline] __do_compat_sys_sendmsg net/compat.c:353 [inline] __se_compat_sys_sendmsg net/compat.c:350 [inline] __ia32_compat_sys_sendmsg+0xa4/0x100 net/compat.c:350 ia32_sys_call+0x3f6c/0x4310 arch/x86/include/generated/asm/syscalls_32.h:371 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0xb0/0x150 arch/x86/entry/syscall_32.c:306 do_fast_syscall_32+0x38/0x80 arch/x86/entry/syscall_32.c:331 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/syscall_32.c:3 Уязвимость компонента RDMA/core ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: Fix reference count leak when using error routes with nexthop objects When a nexthop object is deleted, it is marked as dead and then fib_table_flush() is called to flush all the routes that are using the dead nexthop. The current logic in fib_table_flush() is to only flush error routes (e.g., blackhole) when it is called as part of network namespace dismantle (i.e., with flush_all=true). Therefore, error routes are not flushed when their nexthop object is deleted: # ip link add name dummy1 up type dummy # ip nexthop add id 1 dev dummy1 # ip route add 198.51.100.1/32 nhid 1 # ip route add blackhole 198.51.100.2/32 nhid 1 # ip nexthop del id 1 # ip route show blackhole 198.51.100.2 nhid 1 dev dummy1 As such, they keep holding a reference on the nexthop object which in turn holds a reference on the nexthop device, resulting in a reference count leak: # ip link del dev dummy1 [ 70.516258] unregister_netdevice: waiting for dummy1 to become free. Usage count = 2 Fix by flushing error routes when their nexthop is marked as dead. IPv6 does not suffer from this problem. Уязвимость компонента ipv4/fib_trie.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ip6_gre: make ip6gre_header() robust Over the years, syzbot found many ways to crash the kernel in ip6gre_header() [1]. This involves team or bonding drivers ability to dynamically change their dev->needed_headroom and/or dev->hard_header_len In this particular crash mld_newpack() allocated an skb with a too small reserve/headroom, and by the time mld_sendpack() was called, syzbot managed to attach an ip6gre device. [1] skbuff: skb_under_panic: text:ffffffff8a1d69a8 len:136 put:40 head:ffff888059bc7000 data:ffff888059bc6fe8 tail:0x70 end:0x6c0 dev:team0 ------------[ cut here ]------------ kernel BUG at net/core/skbuff.c:213 ! <TASK> skb_under_panic net/core/skbuff.c:223 [inline] skb_push+0xc3/0xe0 net/core/skbuff.c:2641 ip6gre_header+0xc8/0x790 net/ipv6/ip6_gre.c:1371 dev_hard_header include/linux/netdevice.h:3436 [inline] neigh_connected_output+0x286/0x460 net/core/neighbour.c:1618 neigh_output include/net/neighbour.h:556 [inline] ip6_finish_output2+0xfb3/0x1480 net/ipv6/ip6_output.c:136 __ip6_finish_output net/ipv6/ip6_output.c:-1 [inline] ip6_finish_output+0x234/0x7d0 net/ipv6/ip6_output.c:220 NF_HOOK_COND include/linux/netfilter.h:307 [inline] ip6_output+0x340/0x550 net/ipv6/ip6_output.c:247 NF_HOOK+0x9e/0x380 include/linux/netfilter.h:318 mld_sendpack+0x8d4/0xe60 net/ipv6/mcast.c:1855 mld_send_cr net/ipv6/mcast.c:2154 [inline] mld_ifc_work+0x83e/0xd60 net/ipv6/mcast.c:2693 Уязвимость компонента ipv6/ip6_gre.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scs: fix a wrong parameter in __scs_magic __scs_magic() needs a 'void *' variable, but a 'struct task_struct *' is given. 'task_scs(tsk)' is the starting address of the task's shadow call stack, and '__scs_magic(task_scs(tsk))' is the end address of the task's shadow call stack. Here should be '__scs_magic(task_scs(tsk))'. The user-visible effect of this bug is that when CONFIG_DEBUG_STACK_USAGE is enabled, the shadow call stack usage checking function (scs_check_usage) would scan an incorrect memory range. This could lead 1. **Inaccurate stack usage reporting**: The function would calculate wrong usage statistics for the shadow call stack, potentially showing incorrect value in kmsg. 2. **Potential kernel crash**: If the value of __scs_magic(tsk)is greater than that of __scs_magic(task_scs(tsk)), the for loop may access unmapped memory, potentially causing a kernel panic. However, this scenario is unlikely because task_struct is allocated via the slab allocator (which typically returns lower addresses), while the shadow call stack returned by task_scs(tsk) is allocated via vmalloc(which typically returns higher addresses). However, since this is purely a debugging feature (CONFIG_DEBUG_STACK_USAGE), normal production systems should be not unaffected. The bug only impacts developers and testers who are actively debugging stack usage with this configuration enabled. Уязвимость функции scs_check_usage() модуля kernel/scs.c ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Fix VM hard lockup after prolonged inactivity with periodic HV timer When advancing the target expiration for the guest's APIC timer in periodic mode, set the expiration to "now" if the target expiration is in the past (similar to what is done in update_target_expiration()). Blindly adding the period to the previous target expiration can result in KVM generating a practically unbounded number of hrtimer IRQs due to programming an expired timer over and over. In extreme scenarios, e.g. if userspace pauses/suspends a VM for an extended duration, this can even cause hard lockups in the host. Currently, the bug only affects Intel CPUs when using the hypervisor timer (HV timer), a.k.a. the VMX preemption timer. Unlike the software timer, a.k.a. hrtimer, which KVM keeps running even on exits to userspace, the HV timer only runs while the guest is active. As a result, if the vCPU does not run for an extended duration, there will be a huge gap between the target expiration and the current time the vCPU resumes running. Because the target expiration is incremented by only one period on each timer expiration, this leads to a series of timer expirations occurring rapidly after the vCPU/VM resumes. More critically, when the vCPU first triggers a periodic HV timer expiration after resuming, advancing the expiration by only one period will result in a target expiration in the past. As a result, the delta may be calculated as a negative value. When the delta is converted into an absolute value (tscdeadline is an unsigned u64), the resulting value can overflow what the HV timer is capable of programming. I.e. the large value will exceed the VMX Preemption Timer's maximum bit width of cpu_preemption_timer_multi + 32, and thus cause KVM to switch from the HV timer to the software timer (hrtimers). After switching to the software timer, periodic timer expiration callbacks may be executed consecutively within a single clock interrupt handler, because hrtimers honors KVM's request for an expiration in the past and immediately re-invokes KVM's callback after reprogramming. And because the interrupt handler runs with IRQs disabled, restarting KVM's hrtimer over and over until the target expiration is advanced to "now" can result in a hard lockup. E.g. the following hard lockup was triggered in the host when running a Windows VM (only relevant because it used the APIC timer in periodic mode) after resuming the VM from a long suspend (in the host). NMI watchdog: Watchdog detected hard LOCKUP on cpu 45 ... RIP: 0010:advance_periodic_target_expiration+0x4d/0x80 [kvm] ... RSP: 0018:ff4f88f5d98d8ef0 EFLAGS: 00000046 RAX: fff0103f91be678e RBX: fff0103f91be678e RCX: 00843a7d9e127bcc RDX: 0000000000000002 RSI: 0052ca4003697505 RDI: ff440d5bfbdbd500 RBP: ff440d5956f99200 R08: ff2ff2a42deb6a84 R09: 000000000002a6c0 R10: 0122d794016332b3 R11: 0000000000000000 R12: ff440db1af39cfc0 R13: ff440db1af39cfc0 R14: ffffffffc0d4a560 R15: ff440db1af39d0f8 FS: 00007f04a6ffd700(0000) GS:ff440db1af380000(0000) knlGS:000000e38a3b8000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000d5651feff8 CR3: 000000684e038002 CR4: 0000000000773ee0 PKRU: 55555554 Call Trace: <IRQ> apic_timer_fn+0x31/0x50 [kvm] __hrtimer_run_queues+0x100/0x280 hrtimer_interrupt+0x100/0x210 ? ttwu_do_wakeup+0x19/0x160 smp_apic_timer_interrupt+0x6a/0x130 apic_timer_interrupt+0xf/0x20 </IRQ> Moreover, if the suspend duration of the virtual machine is not long enough to trigger a hard lockup in this scenario, since commit 98c25ead5eda ("KVM: VMX: Move preemption timer <=> hrtimer dance to common x86"), KVM will continue using the software timer until the guest reprograms the APIC timer in some way. Since the periodic timer does not require frequent APIC timer register programming, the guest may continue to use the software timer in ---truncated--- Уязвимость функции advance_periodic_target_expiration() модуля arch/x86/kvm/lapic.c подсистемы виртуализации на платформе x86 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: use global inline_xattr_slab instead of per-sb slab cache As Hong Yun reported in mailing list: loop7: detected capacity change from 0 to 131072 ------------[ cut here ]------------ kmem_cache of name 'f2fs_xattr_entry-7:7' already exists WARNING: CPU: 0 PID: 24426 at mm/slab_common.c:110 kmem_cache_sanity_check mm/slab_common.c:109 [inline] WARNING: CPU: 0 PID: 24426 at mm/slab_common.c:110 __kmem_cache_create_args+0xa6/0x320 mm/slab_common.c:307 CPU: 0 UID: 0 PID: 24426 Comm: syz.7.1370 Not tainted 6.17.0-rc4 #1 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 RIP: 0010:kmem_cache_sanity_check mm/slab_common.c:109 [inline] RIP: 0010:__kmem_cache_create_args+0xa6/0x320 mm/slab_common.c:307 Call Trace:  __kmem_cache_create include/linux/slab.h:353 [inline]  f2fs_kmem_cache_create fs/f2fs/f2fs.h:2943 [inline]  f2fs_init_xattr_caches+0xa5/0xe0 fs/f2fs/xattr.c:843  f2fs_fill_super+0x1645/0x2620 fs/f2fs/super.c:4918  get_tree_bdev_flags+0x1fb/0x260 fs/super.c:1692  vfs_get_tree+0x43/0x140 fs/super.c:1815  do_new_mount+0x201/0x550 fs/namespace.c:3808  do_mount fs/namespace.c:4136 [inline]  __do_sys_mount fs/namespace.c:4347 [inline]  __se_sys_mount+0x298/0x2f0 fs/namespace.c:4324  do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline]  do_syscall_64+0x8e/0x3a0 arch/x86/entry/syscall_64.c:94  entry_SYSCALL_64_after_hwframe+0x76/0x7e The bug can be reproduced w/ below scripts: - mount /dev/vdb /mnt1 - mount /dev/vdc /mnt2 - umount /mnt1 - mounnt /dev/vdb /mnt1 The reason is if we created two slab caches, named f2fs_xattr_entry-7:3 and f2fs_xattr_entry-7:7, and they have the same slab size. Actually, slab system will only create one slab cache core structure which has slab name of "f2fs_xattr_entry-7:3", and two slab caches share the same structure and cache address. So, if we destroy f2fs_xattr_entry-7:3 cache w/ cache address, it will decrease reference count of slab cache, rather than release slab cache entirely, since there is one more user has referenced the cache. Then, if we try to create slab cache w/ name "f2fs_xattr_entry-7:3" again, slab system will find that there is existed cache which has the same name and trigger the warning. Let's changes to use global inline_xattr_slab instead of per-sb slab cache for fixing. Уязвимость компонента f2fs ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: Handle incorrect num_connectors capability The UCSI spec states that the num_connectors field is 7 bits, and the 8th bit is reserved and should be set to zero. Some buggy FW has been known to set this bit, and it can lead to a system not booting. Flag that the FW is not behaving correctly, and auto-fix the value so that the system boots correctly. Found on Lenovo P1 G8 during Linux enablement program. The FW will be fixed, but seemed worth addressing in case it hit platforms that aren't officially Linux supported. Уязвимость функции ucsi_init() модуля drivers/usb/typec/ucsi/ucsi.c драйвера интерфейса разъема USB Type C (UCSI) ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwmon: (w83791d) Convert macros to functions to avoid TOCTOU The macro FAN_FROM_REG evaluates its arguments multiple times. When used in lockless contexts involving shared driver data, this leads to Time-of-Check to Time-of-Use (TOCTOU) race conditions, potentially causing divide-by-zero errors. Convert the macro to a static function. This guarantees that arguments are evaluated only once (pass-by-value), preventing the race conditions. Additionally, in store_fan_div, move the calculation of the minimum limit inside the update lock. This ensures that the read-modify-write sequence operates on consistent data. Adhere to the principle of minimal changes by only converting macros that evaluate arguments multiple times and are used in lockless contexts. Уязвимость компонента hwmon/w83791d.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: add VLAN id validation before using Currently, the VLAN id may be used without validation when receive a VLAN configuration mailbox from VF. The length of vlan_del_fail_bmap is BITS_TO_LONGS(VLAN_N_VID). It may cause out-of-bounds memory access once the VLAN id is bigger than or equal to VLAN_N_VID. Therefore, VLAN id needs to be checked to ensure it is within the range of VLAN_N_VID. Уязвимость функции hclge_set_vlan_filter() модуля drivers/net/ethernet/hisilicon/hns3/hns3pf/hclge_main.c драйвера сетевых адаптеров Ethernet Hisilicon ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - zero initialize memory allocated via sock_kmalloc Several crypto user API contexts and requests allocated with sock_kmalloc() were left uninitialized, relying on callers to set fields explicitly. This resulted in the use of uninitialized data in certain error paths or when new fields are added in the future. The ACVP patches also contain two user-space interface files: algif_kpp.c and algif_akcipher.c. These too rely on proper initialization of their context structures. A particular issue has been observed with the newly added 'inflight' variable introduced in af_alg_ctx by commit: 67b164a871af ("crypto: af_alg - Disallow multiple in-flight AIO requests") Because the context is not memset to zero after allocation, the inflight variable has contained garbage values. As a result, af_alg_alloc_areq() has incorrectly returned -EBUSY randomly when the garbage value was interpreted as true: https://github.com/gregkh/linux/blame/master/crypto/af_alg.c#L1209 The check directly tests ctx->inflight without explicitly comparing against true/false. Since inflight is only ever set to true or false later, an uninitialized value has triggered -EBUSY failures. Zero-initializing memory allocated with sock_kmalloc() ensures inflight and other fields start in a known state, removing random issues caused by uninitialized data. Уязвимость компонента crypto ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: via_wdt: fix critical boot hang due to unnamed resource allocation The VIA watchdog driver uses allocate_resource() to reserve a MMIO region for the watchdog control register. However, the allocated resource was not given a name, which causes the kernel resource tree to contain an entry marked as "<BAD>" under /proc/iomem on x86 platforms. During boot, this unnamed resource can lead to a critical hang because subsequent resource lookups and conflict checks fail to handle the invalid entry properly. Уязвимость функции wdt_probe() модуля drivers/watchdog/via_wdt.c поддержки сторожевого таймера ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: make decode_pool() more resilient against corrupted osdmaps If the osdmap is (maliciously) corrupted such that the encoded length of ceph_pg_pool envelope is less than what is expected for a particular encoding version, out-of-bounds reads may ensue because the only bounds check that is there is based on that length value. This patch adds explicit bounds checks for each field that is decoded or skipped. Уязвимость функции decode_pool() модуля net/ceph/osdmap.c реализации сетевых функций ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Avoid walking the Namespace if start_node is NULL Although commit 0c9992315e73 ("ACPICA: Avoid walking the ACPI Namespace if it is not there") fixed the situation when both start_node and acpi_gbl_root_node are NULL, the Linux kernel mainline now still crashed on Honor Magicbook 14 Pro [1]. That happens due to the access to the member of parent_node in acpi_ns_get_next_node(). The NULL pointer dereference will always happen, no matter whether or not the start_node is equal to ACPI_ROOT_OBJECT, so move the check of start_node being NULL out of the if block. Unfortunately, all the attempts to contact Honor have failed, they refused to provide any technical support for Linux. The bad DSDT table's dump could be found on GitHub [2]. DMI: HONOR FMB-P/FMB-P-PCB, BIOS 1.13 05/08/2025 [ rjw: Subject adjustment, changelog edits ] Уязвимость функции acpi_ns_walk_namespace() модуля drivers/acpi/acpica/nswalk.c драйвера ACPI (расширенный интерфейс конфигурации и питания) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/kexec: Enable SMT before waking offline CPUs If SMT is disabled or a partial SMT state is enabled, when a new kernel image is loaded for kexec, on reboot the following warning is observed: kexec: Waking offline cpu 228. WARNING: CPU: 0 PID: 9062 at arch/powerpc/kexec/core_64.c:223 kexec_prepare_cpus+0x1b0/0x1bc [snip] NIP kexec_prepare_cpus+0x1b0/0x1bc LR kexec_prepare_cpus+0x1a0/0x1bc Call Trace: kexec_prepare_cpus+0x1a0/0x1bc (unreliable) default_machine_kexec+0x160/0x19c machine_kexec+0x80/0x88 kernel_kexec+0xd0/0x118 __do_sys_reboot+0x210/0x2c4 system_call_exception+0x124/0x320 system_call_vectored_common+0x15c/0x2ec This occurs as add_cpu() fails due to cpu_bootable() returning false for CPUs that fail the cpu_smt_thread_allowed() check or non primary threads if SMT is disabled. Fix the issue by enabling SMT and resetting the number of SMT threads to the number of threads per core, before attempting to wake up all present CPUs. Уязвимость компонента powerpc/kexec ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: svcauth_gss: avoid NULL deref on zero length gss_token in gss_read_proxy_verf A zero length gss_token results in pages == 0 and in_token->pages[0] is NULL. The code unconditionally evaluates page_address(in_token->pages[0]) for the initial memcpy, which can dereference NULL even when the copy length is 0. Guard the first memcpy so it only runs when length > 0. Уязвимость функции gss_read_proxy_verf() модуля net/sunrpc/auth_gss/svcauth_gss.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: parisc: Do not reprogram affinitiy on ASP chip The ASP chip is a very old variant of the GSP chip and is used e.g. in HP 730 workstations. When trying to reprogram the affinity it will crash with a HPMC as the relevant registers don't seem to be at the usual location. Let's avoid the crash by checking the sversion. Also note, that reprogramming isn't necessary either, as the HP730 is a just a single-CPU machine. Уязвимость функции gsc_set_affinity_irq() модуля drivers/parisc/gsc.c ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix string copying in parse_apply_sb_mount_options() strscpy_pad() can't be used to copy a non-NUL-term string into a NUL-term string of possibly bigger size. Commit 0efc5990bca5 ("string.h: Introduce memtostr() and memtostr_pad()") provides additional information in that regard. So if this happens, the following warning is observed: strnlen: detected buffer overflow: 65 byte read of buffer size 64 WARNING: CPU: 0 PID: 28655 at lib/string_helpers.c:1032 __fortify_report+0x96/0xc0 lib/string_helpers.c:1032 Modules linked in: CPU: 0 UID: 0 PID: 28655 Comm: syz-executor.3 Not tainted 6.12.54-syzkaller-00144-g5f0270f1ba00 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:__fortify_report+0x96/0xc0 lib/string_helpers.c:1032 Call Trace: <TASK> __fortify_panic+0x1f/0x30 lib/string_helpers.c:1039 strnlen include/linux/fortify-string.h:235 [inline] sized_strscpy include/linux/fortify-string.h:309 [inline] parse_apply_sb_mount_options fs/ext4/super.c:2504 [inline] __ext4_fill_super fs/ext4/super.c:5261 [inline] ext4_fill_super+0x3c35/0xad00 fs/ext4/super.c:5706 get_tree_bdev_flags+0x387/0x620 fs/super.c:1636 vfs_get_tree+0x93/0x380 fs/super.c:1814 do_new_mount fs/namespace.c:3553 [inline] path_mount+0x6ae/0x1f70 fs/namespace.c:3880 do_mount fs/namespace.c:3893 [inline] __do_sys_mount fs/namespace.c:4103 [inline] __se_sys_mount fs/namespace.c:4080 [inline] __x64_sys_mount+0x280/0x300 fs/namespace.c:4080 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x64/0x140 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x76/0x7e Since userspace is expected to provide s_mount_opts field to be at most 63 characters long with the ending byte being NUL-term, use a 64-byte buffer which matches the size of s_mount_opts, so that strscpy_pad() does its job properly. Return with error if the user still managed to provide a non-NUL-term string here. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции parse_apply_sb_mount_options() модуля fs/ext4/super.c файловой системы Ext4 ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Do not register unsupported perf events Synthetic events currently do not have a function to register perf events. This leads to calling the tracepoint register functions with a NULL function pointer which triggers: ------------[ cut here ]------------ WARNING: kernel/tracepoint.c:175 at tracepoint_add_func+0x357/0x370, CPU#2: perf/2272 Modules linked in: kvm_intel kvm irqbypass CPU: 2 UID: 0 PID: 2272 Comm: perf Not tainted 6.18.0-ftest-11964-ge022764176fc-dirty #323 PREEMPTLAZY Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-debian-1.17.0-1 04/01/2014 RIP: 0010:tracepoint_add_func+0x357/0x370 Code: 28 9c e8 4c 0b f5 ff eb 0f 4c 89 f7 48 c7 c6 80 4d 28 9c e8 ab 89 f4 ff 31 c0 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc cc <0f> 0b 49 c7 c6 ea ff ff ff e9 ee fe ff ff 0f 0b e9 f9 fe ff ff 0f RSP: 0018:ffffabc0c44d3c40 EFLAGS: 00010246 RAX: 0000000000000001 RBX: ffff9380aa9e4060 RCX: 0000000000000000 RDX: 000000000000000a RSI: ffffffff9e1d4a98 RDI: ffff937fcf5fd6c8 RBP: 0000000000000001 R08: 0000000000000007 R09: ffff937fcf5fc780 R10: 0000000000000003 R11: ffffffff9c193910 R12: 000000000000000a R13: ffffffff9e1e5888 R14: 0000000000000000 R15: ffffabc0c44d3c78 FS: 00007f6202f5f340(0000) GS:ffff93819f00f000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055d3162281a8 CR3: 0000000106a56003 CR4: 0000000000172ef0 Call Trace: <TASK> tracepoint_probe_register+0x5d/0x90 synth_event_reg+0x3c/0x60 perf_trace_event_init+0x204/0x340 perf_trace_init+0x85/0xd0 perf_tp_event_init+0x2e/0x50 perf_try_init_event+0x6f/0x230 ? perf_event_alloc+0x4bb/0xdc0 perf_event_alloc+0x65a/0xdc0 __se_sys_perf_event_open+0x290/0x9f0 do_syscall_64+0x93/0x7b0 ? entry_SYSCALL_64_after_hwframe+0x76/0x7e ? trace_hardirqs_off+0x53/0xc0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Instead, have the code return -ENODEV, which doesn't warn and has perf error out with: # perf record -e synthetic:futex_wait Error: The sys_perf_event_open() syscall returned with 19 (No such device) for event (synthetic:futex_wait). "dmesg | grep -i perf" may provide additional information. Ideally perf should support synthetic events, but for now just fix the warning. The support can come later. Уязвимость функции sys_perf_event_open() ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: avoid deadlock on fallback while reinjecting Jakub reported an MPTCP deadlock at fallback time: WARNING: possible recursive locking detected 6.18.0-rc7-virtme #1 Not tainted -------------------------------------------- mptcp_connect/20858 is trying to acquire lock: ff1100001da18b60 (&msk->fallback_lock){+.-.}-{3:3}, at: __mptcp_try_fallback+0xd8/0x280 but task is already holding lock: ff1100001da18b60 (&msk->fallback_lock){+.-.}-{3:3}, at: __mptcp_retrans+0x352/0xaa0 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&msk->fallback_lock); lock(&msk->fallback_lock); *** DEADLOCK *** May be due to missing lock nesting notation 3 locks held by mptcp_connect/20858: #0: ff1100001da18290 (sk_lock-AF_INET){+.+.}-{0:0}, at: mptcp_sendmsg+0x114/0x1bc0 #1: ff1100001db40fd0 (k-sk_lock-AF_INET#2){+.+.}-{0:0}, at: __mptcp_retrans+0x2cb/0xaa0 #2: ff1100001da18b60 (&msk->fallback_lock){+.-.}-{3:3}, at: __mptcp_retrans+0x352/0xaa0 stack backtrace: CPU: 0 UID: 0 PID: 20858 Comm: mptcp_connect Not tainted 6.18.0-rc7-virtme #1 PREEMPT(full) Hardware name: Bochs, BIOS Bochs 01/01/2011 Call Trace: <TASK> dump_stack_lvl+0x6f/0xa0 print_deadlock_bug.cold+0xc0/0xcd validate_chain+0x2ff/0x5f0 __lock_acquire+0x34c/0x740 lock_acquire.part.0+0xbc/0x260 _raw_spin_lock_bh+0x38/0x50 __mptcp_try_fallback+0xd8/0x280 mptcp_sendmsg_frag+0x16c2/0x3050 __mptcp_retrans+0x421/0xaa0 mptcp_release_cb+0x5aa/0xa70 release_sock+0xab/0x1d0 mptcp_sendmsg+0xd5b/0x1bc0 sock_write_iter+0x281/0x4d0 new_sync_write+0x3c5/0x6f0 vfs_write+0x65e/0xbb0 ksys_write+0x17e/0x200 do_syscall_64+0xbb/0xfd0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7fa5627cbc5e Code: 4d 89 d8 e8 14 bd 00 00 4c 8b 5d f8 41 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 11 c9 c3 0f 1f 80 00 00 00 00 48 8b 45 10 0f 05 <c9> c3 83 e2 39 83 fa 08 75 e7 e8 13 ff ff ff 0f 1f 00 f3 0f 1e fa RSP: 002b:00007fff1fe14700 EFLAGS: 00000202 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000000005 RCX: 00007fa5627cbc5e RDX: 0000000000001f9c RSI: 00007fff1fe16984 RDI: 0000000000000005 RBP: 00007fff1fe14710 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000202 R12: 00007fff1fe16920 R13: 0000000000002000 R14: 0000000000001f9c R15: 0000000000001f9c The packet scheduler could attempt a reinjection after receiving an MP_FAIL and before the infinite map has been transmitted, causing a deadlock since MPTCP needs to do the reinjection atomically from WRT fallback. Address the issue explicitly avoiding the reinjection in the critical scenario. Note that this is the only fallback critical section that could potentially send packets and hit the double-lock. Уязвимость функции __mptcp_retrans() модуля net/mptcp/protocol.c реализации протокола MPTCP ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Discard Beacon frames to non-broadcast address Beacon frames are required to be sent to the broadcast address, see IEEE Std 802.11-2020, 11.1.3.1 ("The Address 1 field of the Beacon .. frame shall be set to the broadcast address"). A unicast Beacon frame might be used as a targeted attack to get one of the associated STAs to do something (e.g., using CSA to move it to another channel). As such, it is better have strict filtering for this on the received side and discard all Beacon frames that are sent to an unexpected address. This is even more important for cases where beacon protection is used. The current implementation in mac80211 is correctly discarding unicast Beacon frames if the Protected Frame bit in the Frame Control field is set to 0. However, if that bit is set to 1, the logic used for checking for configured BIGTK(s) does not actually work. If the driver does not have logic for dropping unicast Beacon frames with Protected Frame bit 1, these frames would be accepted in mac80211 processing as valid Beacon frames even though they are not protected. This would allow beacon protection to be bypassed. While the logic for checking beacon protection could be extended to cover this corner case, a more generic check for discard all Beacon frames based on A1=unicast address covers this without needing additional changes. Address all these issues by dropping received Beacon frames if they are sent to a non-broadcast address. Уязвимость компонента mac80211/rx.c ядра операционной системы Linux связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gem: Zero-initialize the eb.vma array in i915_gem_do_execbuffer Initialize the eb.vma array with values of 0 when the eb structure is first set up. In particular, this sets the eb->vma[i].vma pointers to NULL, simplifying cleanup and getting rid of the bug described below. During the execution of eb_lookup_vmas(), the eb->vma array is successively filled up with struct eb_vma objects. This process includes calling eb_add_vma(), which might fail; however, even in the event of failure, eb->vma[i].vma is set for the currently processed buffer. If eb_add_vma() fails, eb_lookup_vmas() returns with an error, which prompts a call to eb_release_vmas() to clean up the mess. Since eb_lookup_vmas() might fail during processing any (possibly not first) buffer, eb_release_vmas() checks whether a buffer's vma is NULL to know at what point did the lookup function fail. In eb_lookup_vmas(), eb->vma[i].vma is set to NULL if either the helper function eb_lookup_vma() or eb_validate_vma() fails. eb->vma[i+1].vma is set to NULL in case i915_gem_object_userptr_submit_init() fails; the current one needs to be cleaned up by eb_release_vmas() at this point, so the next one is set. If eb_add_vma() fails, neither the current nor the next vma is set to NULL, which is a source of a NULL deref bug described in the issue linked in the Closes tag. When entering eb_lookup_vmas(), the vma pointers are set to the slab poison value, instead of NULL. This doesn't matter for the actual lookup, since it gets overwritten anyway, however the eb_release_vmas() function only recognizes NULL as the stopping value, hence the pointers are being set to NULL as they go in case of intermediate failure. This patch changes the approach to filling them all with NULL at the start instead, rather than handling that manually during failure. (cherry picked from commit 08889b706d4f0b8d2352b7ca29c2d8df4d0787cd) Уязвимость компонента drm/i915/gem ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: seqiv - Do not use req->iv after crypto_aead_encrypt As soon as crypto_aead_encrypt is called, the underlying request may be freed by an asynchronous completion. Thus dereferencing req->iv after it returns is invalid. Instead of checking req->iv against info, create a new variable unaligned_info and use it for that purpose instead. Уязвимость функции seqiv_aead_encrypt() модуля crypto/seqiv.c криптографической подсистемы ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smc91x: fix broken irq-context in PREEMPT_RT When smc91x.c is built with PREEMPT_RT, the following splat occurs in FVP_RevC: [ 13.055000] smc91x LNRO0003:00 eth0: link up, 10Mbps, half-duplex, lpa 0x0000 [ 13.062137] BUG: workqueue leaked atomic, lock or RCU: kworker/2:1[106] [ 13.062137] preempt=0x00000000 lock=0->0 RCU=0->1 workfn=mld_ifc_work [ 13.062266] C ** replaying previous printk message ** [ 13.062266] CPU: 2 UID: 0 PID: 106 Comm: kworker/2:1 Not tainted 6.18.0-dirty #179 PREEMPT_{RT,(full)} [ 13.062353] Hardware name: , BIOS [ 13.062382] Workqueue: mld mld_ifc_work [ 13.062469] Call trace: [ 13.062494] show_stack+0x24/0x40 (C) [ 13.062602] __dump_stack+0x28/0x48 [ 13.062710] dump_stack_lvl+0x7c/0xb0 [ 13.062818] dump_stack+0x18/0x34 [ 13.062926] process_scheduled_works+0x294/0x450 [ 13.063043] worker_thread+0x260/0x3d8 [ 13.063124] kthread+0x1c4/0x228 [ 13.063235] ret_from_fork+0x10/0x20 This happens because smc_special_trylock() disables IRQs even on PREEMPT_RT, but smc_special_unlock() does not restore IRQs on PREEMPT_RT. The reason is that smc_special_unlock() calls spin_unlock_irqrestore(), and rcu_read_unlock_bh() in __dev_queue_xmit() cannot invoke rcu_read_unlock() through __local_bh_enable_ip() when current->softirq_disable_cnt becomes zero. To address this issue, replace smc_special_trylock() with spin_trylock_irqsave(). Уязвимость компонента smsc/smc91x.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/irdma: avoid invalid read in irdma_net_event irdma_net_event() should not dereference anything from "neigh" (alias "ptr") until it has checked that the event is NETEVENT_NEIGH_UPDATE. Other events come with different structures pointed to by "ptr" and they may be smaller than struct neighbour. Move the read of neigh->dev under the NETEVENT_NEIGH_UPDATE case. The bug is mostly harmless, but it triggers KASAN on debug kernels: BUG: KASAN: stack-out-of-bounds in irdma_net_event+0x32e/0x3b0 [irdma] Read of size 8 at addr ffffc900075e07f0 by task kworker/27:2/542554 CPU: 27 PID: 542554 Comm: kworker/27:2 Kdump: loaded Not tainted 5.14.0-630.el9.x86_64+debug #1 Hardware name: [...] Workqueue: events rt6_probe_deferred Call Trace: <IRQ> dump_stack_lvl+0x60/0xb0 print_address_description.constprop.0+0x2c/0x3f0 print_report+0xb4/0x270 kasan_report+0x92/0xc0 irdma_net_event+0x32e/0x3b0 [irdma] notifier_call_chain+0x9e/0x180 atomic_notifier_call_chain+0x5c/0x110 rt6_do_redirect+0xb91/0x1080 tcp_v6_err+0xe9b/0x13e0 icmpv6_notify+0x2b2/0x630 ndisc_redirect_rcv+0x328/0x530 icmpv6_rcv+0xc16/0x1360 ip6_protocol_deliver_rcu+0xb84/0x12e0 ip6_input_finish+0x117/0x240 ip6_input+0xc4/0x370 ipv6_rcv+0x420/0x7d0 __netif_receive_skb_one_core+0x118/0x1b0 process_backlog+0xd1/0x5d0 __napi_poll.constprop.0+0xa3/0x440 net_rx_action+0x78a/0xba0 handle_softirqs+0x2d4/0x9c0 do_softirq+0xad/0xe0 </IRQ> Уязвимость функции irdma_net_event() модуля drivers/infiniband/hw/irdma/utils.c драйвера InfiniBand ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: adv7842: Avoid possible out-of-bounds array accesses in adv7842_cp_log_status() It's possible for cp_read() and hdmi_read() to return -EIO. Those values are further used as indexes for accessing arrays. Fix that by checking return values where it's needed. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции adv7842_cp_log_status() модуля drivers/media/i2c/adv7842.c драйвера мультимедийных устройств ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: fix "UBSAN: shift-out-of-bounds error" This patch ensures that the RX ring size (rx_pending) is not set below the permitted length. This avoids UBSAN shift-out-of-bounds errors when users passes small or zero ring sizes via ethtool -G. Уязвимость функции otx2_set_ringparam() модуля drivers/net/ethernet/marvell/octeontx2/nic/otx2_ethtool.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: ensure context reset on disconnect() After the blamed commit below, if the MPC subflow is already in TCP_CLOSE status or has fallback to TCP at mptcp_disconnect() time, mptcp_do_fastclose() skips setting the `send_fastclose flag` and the later __mptcp_close_ssk() does not reset anymore the related subflow context. Any later connection will be created with both the `request_mptcp` flag and the msk-level fallback status off (it is unconditionally cleared at MPTCP disconnect time), leading to a warning in subflow_data_ready(): WARNING: CPU: 26 PID: 8996 at net/mptcp/subflow.c:1519 subflow_data_ready (net/mptcp/subflow.c:1519 (discriminator 13)) Modules linked in: CPU: 26 UID: 0 PID: 8996 Comm: syz.22.39 Not tainted 6.18.0-rc7-05427-g11fc074f6c36 #1 PREEMPT(voluntary) Hardware name: Bochs Bochs, BIOS Bochs 01/01/2011 RIP: 0010:subflow_data_ready (net/mptcp/subflow.c:1519 (discriminator 13)) Code: 90 0f 0b 90 90 e9 04 fe ff ff e8 b7 1e f5 fe 89 ee bf 07 00 00 00 e8 db 19 f5 fe 83 fd 07 0f 84 35 ff ff ff e8 9d 1e f5 fe 90 <0f> 0b 90 e9 27 ff ff ff e8 8f 1e f5 fe 4c 89 e7 48 89 de e8 14 09 RSP: 0018:ffffc9002646fb30 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff88813b218000 RCX: ffffffff825c8435 RDX: ffff8881300b3580 RSI: ffffffff825c8443 RDI: 0000000000000005 RBP: 000000000000000b R08: ffffffff825c8435 R09: 000000000000000b R10: 0000000000000005 R11: 0000000000000007 R12: ffff888131ac0000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f88330af6c0(0000) GS:ffff888a93dd2000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f88330aefe8 CR3: 000000010ff59000 CR4: 0000000000350ef0 Call Trace: <TASK> tcp_data_ready (net/ipv4/tcp_input.c:5356) tcp_data_queue (net/ipv4/tcp_input.c:5445) tcp_rcv_state_process (net/ipv4/tcp_input.c:7165) tcp_v4_do_rcv (net/ipv4/tcp_ipv4.c:1955) __release_sock (include/net/sock.h:1158 (discriminator 6) net/core/sock.c:3180 (discriminator 6)) release_sock (net/core/sock.c:3737) mptcp_sendmsg (net/mptcp/protocol.c:1763 net/mptcp/protocol.c:1857) inet_sendmsg (net/ipv4/af_inet.c:853 (discriminator 7)) __sys_sendto (net/socket.c:727 (discriminator 15) net/socket.c:742 (discriminator 15) net/socket.c:2244 (discriminator 15)) __x64_sys_sendto (net/socket.c:2247) do_syscall_64 (arch/x86/entry/syscall_64.c:63 (discriminator 1) arch/x86/entry/syscall_64.c:94 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f883326702d Address the issue setting an explicit `fastclosing` flag at fastclose time, and checking such flag after mptcp_do_fastclose(). Уязвимость компонентов mptcp ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: Fix a memory leak in tpm2_load_cmd 'tpm2_load_cmd' allocates a tempoary blob indirectly via 'tpm2_key_decode' but it is not freed in the failure paths. Address this by wrapping the blob into with a cleanup helper. Уязвимость функции tpm2_load_cmd() модуля security/keys/trusted-keys/trusted_tpm2.c компонента управления ключами ядра операционной системы Linux связана с неправильным освобождением памяти («утечка памяти»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix refcount leak when invalid session is found on session lookup When a session is found but its state is not SMB2_SESSION_VALID, It indicates that no valid session was found, but it is missing to decrement the reference count acquired by the session lookup, which results in a reference count leak. This patch fixes the issue by explicitly calling ksmbd_user_session_put to release the reference to the session. Уязвимость компонента server/mgmt/user_session.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: rtl8150: fix memory leak on usb_submit_urb() failure In async_set_registers(), when usb_submit_urb() fails, the allocated async_req structure and URB are not freed, causing a memory leak. The completion callback async_set_reg_cb() is responsible for freeing these allocations, but it is only called after the URB is successfully submitted and completes (successfully or with error). If submission fails, the callback never runs and the memory is leaked. Fix this by freeing both the URB and the request structure in the error path when usb_submit_urb() fails. Уязвимость компонента usb/rtl8150.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: tegra-adma: Fix use-after-free A use-after-free bug exists in the Tegra ADMA driver when audio streams are terminated, particularly during XRUN conditions. The issue occurs when the DMA buffer is freed by tegra_adma_terminate_all() before the vchan completion tasklet finishes accessing it. The race condition follows this sequence: 1. DMA transfer completes, triggering an interrupt that schedules the completion tasklet (tasklet has not executed yet) 2. Audio playback stops, calling tegra_adma_terminate_all() which frees the DMA buffer memory via kfree() 3. The scheduled tasklet finally executes, calling vchan_complete() which attempts to access the already-freed memory Since tasklets can execute at any time after being scheduled, there is no guarantee that the buffer will remain valid when vchan_complete() runs. Fix this by properly synchronizing the virtual channel completion: - Calling vchan_terminate_vdesc() in tegra_adma_stop() to mark the descriptors as terminated instead of freeing the descriptor. - Add the callback tegra_adma_synchronize() that calls vchan_synchronize() which kills any pending tasklets and frees any terminated descriptors. Crash logs: [ 337.427523] BUG: KASAN: use-after-free in vchan_complete+0x124/0x3b0 [ 337.427544] Read of size 8 at addr ffff000132055428 by task swapper/0/0 [ 337.427562] Call trace: [ 337.427564] dump_backtrace+0x0/0x320 [ 337.427571] show_stack+0x20/0x30 [ 337.427575] dump_stack_lvl+0x68/0x84 [ 337.427584] print_address_description.constprop.0+0x74/0x2b8 [ 337.427590] kasan_report+0x1f4/0x210 [ 337.427598] __asan_load8+0xa0/0xd0 [ 337.427603] vchan_complete+0x124/0x3b0 [ 337.427609] tasklet_action_common.constprop.0+0x190/0x1d0 [ 337.427617] tasklet_action+0x30/0x40 [ 337.427623] __do_softirq+0x1a0/0x5c4 [ 337.427628] irq_exit+0x110/0x140 [ 337.427633] handle_domain_irq+0xa4/0xe0 [ 337.427640] gic_handle_irq+0x64/0x160 [ 337.427644] call_on_irq_stack+0x20/0x4c [ 337.427649] do_interrupt_handler+0x7c/0x90 [ 337.427654] el1_interrupt+0x30/0x80 [ 337.427659] el1h_64_irq_handler+0x18/0x30 [ 337.427663] el1h_64_irq+0x7c/0x80 [ 337.427667] cpuidle_enter_state+0xe4/0x540 [ 337.427674] cpuidle_enter+0x54/0x80 [ 337.427679] do_idle+0x2e0/0x380 [ 337.427685] cpu_startup_entry+0x2c/0x70 [ 337.427690] rest_init+0x114/0x130 [ 337.427695] arch_call_rest_init+0x18/0x24 [ 337.427702] start_kernel+0x380/0x3b4 [ 337.427706] __primary_switched+0xc0/0xc8 Уязвимость функции tegra_adma_terminate_all() ядра операционной системы связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: fix device leaks on compat bind and unbind Make sure to drop the reference taken when looking up the idxd device as part of the compat bind and unbind sysfs interface. Уязвимость компонента dmaengine ядра операционной системы связана с ошибками освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: counter: interrupt-cnt: Drop IRQF_NO_THREAD flag An IRQ handler can either be IRQF_NO_THREAD or acquire spinlock_t, as CONFIG_PROVE_RAW_LOCK_NESTING warns: ============================= [ BUG: Invalid wait context ] 6.18.0-rc1+git... #1 ----------------------------- some-user-space-process/1251 is trying to lock: (&counter->events_list_lock){....}-{3:3}, at: counter_push_event [counter] other info that might help us debug this: context-{2:2} no locks held by some-user-space-process/.... stack backtrace: CPU: 0 UID: 0 PID: 1251 Comm: some-user-space-process 6.18.0-rc1+git... #1 PREEMPT Call trace: show_stack (C) dump_stack_lvl dump_stack __lock_acquire lock_acquire _raw_spin_lock_irqsave counter_push_event [counter] interrupt_cnt_isr [interrupt_cnt] __handle_irq_event_percpu handle_irq_event handle_simple_irq handle_irq_desc generic_handle_domain_irq gpio_irq_handler handle_irq_desc generic_handle_domain_irq gic_handle_irq call_on_irq_stack do_interrupt_handler el0_interrupt __el0_irq_handler_common el0t_64_irq_handler el0t_64_irq ... and Sebastian correctly points out. Remove IRQF_NO_THREAD as an alternative to switching to raw_spinlock_t, because the latter would limit all potential nested locks to raw_spinlock_t only. Уязвимость функции interrupt_cnt_probe() модуля drivers/counter/interrupt-cnt.c ядра операционной системы Linux связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: j1939: make j1939_session_activate() fail if device is no longer registered syzbot is still reporting unregister_netdevice: waiting for vcan0 to become free. Usage count = 2 even after commit 93a27b5891b8 ("can: j1939: add missing calls in NETDEV_UNREGISTER notification handler") was added. A debug printk() patch found that j1939_session_activate() can succeed even after j1939_cancel_active_session() from j1939_netdev_notify(NETDEV_UNREGISTER) has completed. Since j1939_cancel_active_session() is processed with the session list lock held, checking ndev->reg_state in j1939_session_activate() with the session list lock held can reliably close the race window. Уязвимость функции j1939_session_activate() модуля net/can/j1939/transport.c поддержки сокетов j1939 шины CAN ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: always detect conflicting inodes when logging inode refs After rename exchanging (either with the rename exchange operation or regular renames in multiple non-atomic steps) two inodes and at least one of them is a directory, we can end up with a log tree that contains only of the inodes and after a power failure that can result in an attempt to delete the other inode when it should not because it was not deleted before the power failure. In some case that delete attempt fails when the target inode is a directory that contains a subvolume inside it, since the log replay code is not prepared to deal with directory entries that point to root items (only inode items). 1) We have directories "dir1" (inode A) and "dir2" (inode B) under the same parent directory; 2) We have a file (inode C) under directory "dir1" (inode A); 3) We have a subvolume inside directory "dir2" (inode B); 4) All these inodes were persisted in a past transaction and we are currently at transaction N; 5) We rename the file (inode C), so at btrfs_log_new_name() we update inode C's last_unlink_trans to N; 6) We get a rename exchange for "dir1" (inode A) and "dir2" (inode B), so after the exchange "dir1" is inode B and "dir2" is inode A. During the rename exchange we call btrfs_log_new_name() for inodes A and B, but because they are directories, we don't update their last_unlink_trans to N; 7) An fsync against the file (inode C) is done, and because its inode has a last_unlink_trans with a value of N we log its parent directory (inode A) (through btrfs_log_all_parents(), called from btrfs_log_inode_parent()). 8) So we end up with inode B not logged, which now has the old name of inode A. At copy_inode_items_to_log(), when logging inode A, we did not check if we had any conflicting inode to log because inode A has a generation lower than the current transaction (created in a past transaction); 9) After a power failure, when replaying the log tree, since we find that inode A has a new name that conflicts with the name of inode B in the fs tree, we attempt to delete inode B... this is wrong since that directory was never deleted before the power failure, and because there is a subvolume inside that directory, attempting to delete it will fail since replay_dir_deletes() and btrfs_unlink_inode() are not prepared to deal with dir items that point to roots instead of inodes. When that happens the mount fails and we get a stack trace like the following: [87.2314] BTRFS info (device dm-0): start tree-log replay [87.2318] BTRFS critical (device dm-0): failed to delete reference to subvol, root 5 inode 256 parent 259 [87.2332] ------------[ cut here ]------------ [87.2338] BTRFS: Transaction aborted (error -2) [87.2346] WARNING: CPU: 1 PID: 638968 at fs/btrfs/inode.c:4345 __btrfs_unlink_inode+0x416/0x440 [btrfs] [87.2368] Modules linked in: btrfs loop dm_thin_pool (...) [87.2470] CPU: 1 UID: 0 PID: 638968 Comm: mount Tainted: G W 6.18.0-rc7-btrfs-next-218+ #2 PREEMPT(full) [87.2489] Tainted: [W]=WARN [87.2494] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-0-gea1b7a073390-prebuilt.qemu.org 04/01/2014 [87.2514] RIP: 0010:__btrfs_unlink_inode+0x416/0x440 [btrfs] [87.2538] Code: c0 89 04 24 (...) [87.2568] RSP: 0018:ffffc0e741f4b9b8 EFLAGS: 00010286 [87.2574] RAX: 0000000000000000 RBX: ffff9d3ec8a6cf60 RCX: 0000000000000000 [87.2582] RDX: 0000000000000002 RSI: ffffffff84ab45a1 RDI: 00000000ffffffff [87.2591] RBP: ffff9d3ec8a6ef20 R08: 0000000000000000 R09: ffffc0e741f4b840 [87.2599] R10: ffff9d45dc1fffa8 R11: 0000000000000003 R12: ffff9d3ee26d77e0 [87.2608] R13: ffffc0e741f4ba98 R14: ffff9d4458040800 R15: ffff9d44b6b7ca10 [87.2618] FS: 00007f7b9603a840(0000) GS:ffff9d4658982000(0000) knlGS:0000000000000000 [87. ---truncated--- Уязвимость компонента btrfs/tree-log.c ядра операционной системы Linux связана с неправильной обработкой несогласованных специальных элементов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: dma-crossbar: fix device leak on am335x route allocation Make sure to drop the reference taken when looking up the crossbar platform device during am335x route allocation. Уязвимость функции ti_am335x_xbar_route_allocate() модуля drivers/dma/ti/dma-crossbar.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: stm32: dmamux: fix device leak on route allocation Make sure to drop the reference taken when looking up the DMA mux platform device during route allocation. Note that holding a reference to a device does not prevent its driver data from going away so there is no point in keeping the reference. Уязвимость функции stm32_dmamux_route_allocate() модуля drivers/dma/stm32/stm32-dmamux.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: dw: dmamux: fix OF node leak on route allocation failure Make sure to drop the reference taken to the DMA master OF node also on late route allocation failures. Уязвимость функции rzn1_dmamux_route_allocate() модуля drivers/dma/dw/rzn1-dmamux.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: bcm-sba-raid: fix device leak on probe Make sure to drop the reference taken when looking up the mailbox device during probe on probe failures and on driver unbind. Уязвимость компонента dma/bcm-sba-raid.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: at_hdmac: fix device leak on of_dma_xlate() Make sure to drop the reference taken when looking up the DMA platform device during of_dma_xlate() when releasing channel resources. Note that commit 3832b78b3ec2 ("dmaengine: at_hdmac: add missing put_device() call in at_dma_xlate()") fixed the leak in a couple of error paths but the reference is still leaking on successful allocation. Уязвимость компонента dma/at_hdmac.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: ac97: fix a double free in snd_ac97_controller_register() If ac97_add_adapter() fails, put_device() is the correct way to drop the device reference. kfree() is not required. Add kfree() if idr_alloc() fails and in ac97_adapter_release() to do the cleanup. Found by code review. Уязвимость компонента ac97/bus.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix deadlock in wait_current_trans() due to ignored transaction type When wait_current_trans() is called during start_transaction(), it currently waits for a blocked transaction without considering whether the given transaction type actually needs to wait for that particular transaction state. The btrfs_blocked_trans_types[] array already defines which transaction types should wait for which transaction states, but this check was missing in wait_current_trans(). This can lead to a deadlock scenario involving two transactions and pending ordered extents: 1. Transaction A is in TRANS_STATE_COMMIT_DOING state 2. A worker processing an ordered extent calls start_transaction() with TRANS_JOIN 3. join_transaction() returns -EBUSY because Transaction A is in TRANS_STATE_COMMIT_DOING 4. Transaction A moves to TRANS_STATE_UNBLOCKED and completes 5. A new Transaction B is created (TRANS_STATE_RUNNING) 6. The ordered extent from step 2 is added to Transaction B's pending ordered extents 7. Transaction B immediately starts commit by another task and enters TRANS_STATE_COMMIT_START 8. The worker finally reaches wait_current_trans(), sees Transaction B in TRANS_STATE_COMMIT_START (a blocked state), and waits unconditionally 9. However, TRANS_JOIN should NOT wait for TRANS_STATE_COMMIT_START according to btrfs_blocked_trans_types[] 10. Transaction B is waiting for pending ordered extents to complete 11. Deadlock: Transaction B waits for ordered extent, ordered extent waits for Transaction B This can be illustrated by the following call stacks: CPU0 CPU1 btrfs_finish_ordered_io() start_transaction(TRANS_JOIN) join_transaction() # -EBUSY (Transaction A is # TRANS_STATE_COMMIT_DOING) # Transaction A completes # Transaction B created # ordered extent added to # Transaction B's pending list btrfs_commit_transaction() # Transaction B enters # TRANS_STATE_COMMIT_START # waiting for pending ordered # extents wait_current_trans() # waits for Transaction B # (should not wait!) Task bstore_kv_sync in btrfs_commit_transaction waiting for ordered extents: __schedule+0x2e7/0x8a0 schedule+0x64/0xe0 btrfs_commit_transaction+0xbf7/0xda0 [btrfs] btrfs_sync_file+0x342/0x4d0 [btrfs] __x64_sys_fdatasync+0x4b/0x80 do_syscall_64+0x33/0x40 entry_SYSCALL_64_after_hwframe+0x44/0xa9 Task kworker in wait_current_trans waiting for transaction commit: Workqueue: btrfs-syno_nocow btrfs_work_helper [btrfs] __schedule+0x2e7/0x8a0 schedule+0x64/0xe0 wait_current_trans+0xb0/0x110 [btrfs] start_transaction+0x346/0x5b0 [btrfs] btrfs_finish_ordered_io.isra.0+0x49b/0x9c0 [btrfs] btrfs_work_helper+0xe8/0x350 [btrfs] process_one_work+0x1d3/0x3c0 worker_thread+0x4d/0x3e0 kthread+0x12d/0x150 ret_from_fork+0x1f/0x30 Fix this by passing the transaction type to wait_current_trans() and checking btrfs_blocked_trans_types[cur_trans->state] against the given type before deciding to wait. This ensures that transaction types which are allowed to join during certain blocked states will not unnecessarily wait and cause deadlocks. Уязвимость компонента btrfs/transaction.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phy: stm32-usphyc: Fix off by one in probe() The "index" variable is used as an index into the usbphyc->phys[] array which has usbphyc->nphys elements. So if it is equal to usbphyc->nphys then it is one element out of bounds. The "index" comes from the device tree so it's data that we trust and it's unlikely to be wrong, however it's obviously still worth fixing the bug. Change the > to >=. Уязвимость компонента phy/st/phy-stm32-usbphyc.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: w1: therm: Fix off-by-one buffer overflow in alarms_store The sysfs buffer passed to alarms_store() is allocated with 'size + 1' bytes and a NUL terminator is appended. However, the 'size' argument does not account for this extra byte. The original code then allocated 'size' bytes and used strcpy() to copy 'buf', which always writes one byte past the allocated buffer since strcpy() copies until the NUL terminator at index 'size'. Fix this by parsing the 'buf' parameter directly using simple_strtoll() without allocating any intermediate memory or string copying. This removes the overflow while simplifying the code. Уязвимость компонента slaves/w1_therm.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Для устранения угрозы эксплуатации уязвимости CVE-2025-71197 необходимо запретить загрузку модуля w1_therm.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль w1_therm в ядро системы, для этого выполнить одну из команд: `lsmod | grep w1_therm` или `kmod list | grep w1_therm` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля w1_therm: `sudo rmmod w1_therm` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-w1_therm.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install w1_therm /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: adc: at91-sama5d2_adc: Fix potential use-after-free in sama5d2_adc driver at91_adc_interrupt can call at91_adc_touch_data_handler function to start the work by schedule_work(&st->touch_st.workq). If we remove the module which will call at91_adc_remove to make cleanup, it will free indio_dev through iio_device_unregister but quite a bit later. While the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | at91_adc_workq_handler at91_adc_remove | iio_device_unregister(indio_dev) | //free indio_dev a bit later | | iio_push_to_buffers(indio_dev) | //use indio_dev Fix it by ensuring that the work is canceled before proceeding with the cleanup in at91_adc_remove. Уязвимость компонента iio/adc/at91-sama5d2_adc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mmc: sdhci-of-dwcmshc: Prevent illegal clock reduction in HS200/HS400 mode When operating in HS200 or HS400 timing modes, reducing the clock frequency below 52MHz will lead to link broken as the Rockchip DWC MSHC controller requires maintaining a minimum clock of 52MHz in these modes. Add a check to prevent illegal clock reduction through debugfs: root@debian:/# echo 50000000 > /sys/kernel/debug/mmc0/clock root@debian:/# [ 30.090146] mmc0: running CQE recovery mmc0: cqhci: Failed to halt mmc0: cqhci: spurious TCN for tag 0 WARNING: drivers/mmc/host/cqhci-core.c:797 at cqhci_irq+0x254/0x818, CPU#1: kworker/1:0H/24 Modules linked in: CPU: 1 UID: 0 PID: 24 Comm: kworker/1:0H Not tainted 6.19.0-rc1-00001-g09db0998649d-dirty #204 PREEMPT Hardware name: Rockchip RK3588 EVB1 V10 Board (DT) Workqueue: kblockd blk_mq_run_work_fn pstate: 604000c9 (nZCv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : cqhci_irq+0x254/0x818 lr : cqhci_irq+0x254/0x818 ... Уязвимость компонента drivers/mmc/host/sdhci-of-dwcmshc.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: call ksmbd_session_rpc_close() on error path in create_smb2_pipe() When ksmbd_iov_pin_rsp() fails, we should call ksmbd_session_rpc_close(). Уязвимость компонента smb/server/smb2pdu.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: wlcore: ensure skb headroom before skb_push This avoids occasional skb_under_panic Oops from wl1271_tx_work. In this case, headroom is less than needed (typically 110 - 94 = 16 bytes). Уязвимость компонента wireless/ti/wlcore/tx.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: ocb: skip rx_no_sta when interface is not joined ieee80211_ocb_rx_no_sta() assumes a valid channel context, which is only present after JOIN_OCB. RX may run before JOIN_OCB is executed, in which case the OCB interface is not operational. Skip RX peer handling when the interface is not joined to avoid warnings in the RX path. Уязвимость компонента mac80211/ocb.c ядра операционной системы Linux связана с некорректной обработкой отсутствующего специального элемента. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Free sp in error path to fix system crash System crash seen during load/unload test in a loop, [61110.449331] qla2xxx [0000:27:00.0]-0042:0: Disabled MSI-X. [61110.467494] ============================================================================= [61110.467498] BUG qla2xxx_srbs (Tainted: G OE -------- --- ): Objects remaining in qla2xxx_srbs on __kmem_cache_shutdown() [61110.467501] ----------------------------------------------------------------------------- [61110.467502] Slab 0x000000000ffc8162 objects=51 used=1 fp=0x00000000e25d3d85 flags=0x57ffffc0010200(slab|head|node=1|zone=2|lastcpupid=0x1fffff) [61110.467509] CPU: 53 PID: 455206 Comm: rmmod Kdump: loaded Tainted: G OE -------- --- 5.14.0-284.11.1.el9_2.x86_64 #1 [61110.467513] Hardware name: HPE ProLiant DL385 Gen10 Plus v2/ProLiant DL385 Gen10 Plus v2, BIOS A42 08/17/2023 [61110.467515] Call Trace: [61110.467516] <TASK> [61110.467519] dump_stack_lvl+0x34/0x48 [61110.467526] slab_err.cold+0x53/0x67 [61110.467534] __kmem_cache_shutdown+0x16e/0x320 [61110.467540] kmem_cache_destroy+0x51/0x160 [61110.467544] qla2x00_module_exit+0x93/0x99 [qla2xxx] [61110.467607] ? __do_sys_delete_module.constprop.0+0x178/0x280 [61110.467613] ? syscall_trace_enter.constprop.0+0x145/0x1d0 [61110.467616] ? do_syscall_64+0x5c/0x90 [61110.467619] ? exc_page_fault+0x62/0x150 [61110.467622] ? entry_SYSCALL_64_after_hwframe+0x63/0xcd [61110.467626] </TASK> [61110.467627] Disabling lock debugging due to kernel taint [61110.467635] Object 0x0000000026f7e6e6 @offset=16000 [61110.467639] ------------[ cut here ]------------ [61110.467639] kmem_cache_destroy qla2xxx_srbs: Slab cache still has objects when called from qla2x00_module_exit+0x93/0x99 [qla2xxx] [61110.467659] WARNING: CPU: 53 PID: 455206 at mm/slab_common.c:520 kmem_cache_destroy+0x14d/0x160 [61110.467718] CPU: 53 PID: 455206 Comm: rmmod Kdump: loaded Tainted: G B OE -------- --- 5.14.0-284.11.1.el9_2.x86_64 #1 [61110.467720] Hardware name: HPE ProLiant DL385 Gen10 Plus v2/ProLiant DL385 Gen10 Plus v2, BIOS A42 08/17/2023 [61110.467721] RIP: 0010:kmem_cache_destroy+0x14d/0x160 [61110.467724] Code: 99 7d 07 00 48 89 ef e8 e1 6a 07 00 eb b3 48 8b 55 60 48 8b 4c 24 20 48 c7 c6 70 fc 66 90 48 c7 c7 f8 ef a1 90 e8 e1 ed 7c 00 <0f> 0b eb 93 c3 cc cc cc cc 66 2e 0f 1f 84 00 00 00 00 00 55 48 89 [61110.467725] RSP: 0018:ffffa304e489fe80 EFLAGS: 00010282 [61110.467727] RAX: 0000000000000000 RBX: ffffffffc0d9a860 RCX: 0000000000000027 [61110.467729] RDX: ffff8fd5ff9598a8 RSI: 0000000000000001 RDI: ffff8fd5ff9598a0 [61110.467730] RBP: ffff8fb6aaf78700 R08: 0000000000000000 R09: 0000000100d863b7 [61110.467731] R10: ffffa304e489fd20 R11: ffffffff913bef48 R12: 0000000040002000 [61110.467731] R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 [61110.467733] FS: 00007f64c89fb740(0000) GS:ffff8fd5ff940000(0000) knlGS:0000000000000000 [61110.467734] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [61110.467735] CR2: 00007f0f02bfe000 CR3: 00000020ad6dc005 CR4: 0000000000770ee0 [61110.467736] PKRU: 55555554 [61110.467737] Call Trace: [61110.467738] <TASK> [61110.467739] qla2x00_module_exit+0x93/0x99 [qla2xxx] [61110.467755] ? __do_sys_delete_module.constprop.0+0x178/0x280 Free sp in the error path to fix the crash. Уязвимость компонента scsi/qla2xxx/qla_gs.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Avoid creating sub-groups asynchronously The asynchronous creation of sub-groups by a delayed work could lead to a NULL pointer dereference when the driver directory is removed before the work completes. The crash can be easily reproduced with the following commands: # cd /sys/kernel/config/pci_ep/functions/pci_epf_test # for i in {1..20}; do mkdir test && rmdir test; done BUG: kernel NULL pointer dereference, address: 0000000000000088 ... Call Trace: configfs_register_group+0x3d/0x190 pci_epf_cfs_work+0x41/0x110 process_one_work+0x18f/0x350 worker_thread+0x25a/0x3a0 Fix this issue by using configfs_add_default_group() API which does not have the deadlock problem as configfs_register_group() and does not require the delayed work handler. [mani: slightly reworded the description and added stable list] Уязвимость компонента pci/endpoint/pci-ep-cfs.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Delay module unload while fabric scan in progress System crash seen during load/unload test in a loop. [105954.384919] RBP: ffff914589838dc0 R08: 0000000000000000 R09: 0000000000000086 [105954.384920] R10: 000000000000000f R11: ffffa31240904be5 R12: ffff914605f868e0 [105954.384921] R13: ffff914605f86910 R14: 0000000000008010 R15: 00000000ddb7c000 [105954.384923] FS: 0000000000000000(0000) GS:ffff9163fec40000(0000) knlGS:0000000000000000 [105954.384925] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [105954.384926] CR2: 000055d31ce1d6a0 CR3: 0000000119f5e001 CR4: 0000000000770ee0 [105954.384928] PKRU: 55555554 [105954.384929] Call Trace: [105954.384931] <IRQ> [105954.384934] qla24xx_sp_unmap+0x1f3/0x2a0 [qla2xxx] [105954.384962] ? qla_async_scan_sp_done+0x114/0x1f0 [qla2xxx] [105954.384980] ? qla24xx_els_ct_entry+0x4de/0x760 [qla2xxx] [105954.384999] ? __wake_up_common+0x80/0x190 [105954.385004] ? qla24xx_process_response_queue+0xc2/0xaa0 [qla2xxx] [105954.385023] ? qla24xx_msix_rsp_q+0x44/0xb0 [qla2xxx] [105954.385040] ? __handle_irq_event_percpu+0x3d/0x190 [105954.385044] ? handle_irq_event+0x58/0xb0 [105954.385046] ? handle_edge_irq+0x93/0x240 [105954.385050] ? __common_interrupt+0x41/0xa0 [105954.385055] ? common_interrupt+0x3e/0xa0 [105954.385060] ? asm_common_interrupt+0x22/0x40 The root cause of this was that there was a free (dma_free_attrs) in the interrupt context. There was a device discovery/fabric scan in progress. A module unload was issued which set the UNLOADING flag. As part of the discovery, after receiving an interrupt a work queue was scheduled (which involved a work to be queued). Since the UNLOADING flag is set, the work item was not allocated and the mapped memory had to be freed. The free occurred in interrupt context leading to system crash. Delay the driver unload until the fabric scan is complete to avoid the crash. Уязвимость компонента scsi/qla2xxx/qla_os.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Validate sp before freeing associated memory System crash with the following signature [154563.214890] nvme nvme2: NVME-FC{1}: controller connect complete [154564.169363] qla2xxx [0000:b0:00.1]-3002:2: nvme: Sched: Set ZIO exchange threshold to 3. [154564.169405] qla2xxx [0000:b0:00.1]-ffffff:2: SET ZIO Activity exchange threshold to 5. [154565.539974] qla2xxx [0000:b0:00.1]-5013:2: RSCN database changed – 0078 0080 0000. [154565.545744] qla2xxx [0000:b0:00.1]-5013:2: RSCN database changed – 0078 00a0 0000. [154565.545857] qla2xxx [0000:b0:00.1]-11a2:2: FEC=enabled (data rate). [154565.552760] qla2xxx [0000:b0:00.1]-11a2:2: FEC=enabled (data rate). [154565.553079] BUG: kernel NULL pointer dereference, address: 00000000000000f8 [154565.553080] #PF: supervisor read access in kernel mode [154565.553082] #PF: error_code(0x0000) - not-present page [154565.553084] PGD 80000010488ab067 P4D 80000010488ab067 PUD 104978a067 PMD 0 [154565.553089] Oops: 0000 1 PREEMPT SMP PTI [154565.553092] CPU: 10 PID: 858 Comm: qla2xxx_2_dpc Kdump: loaded Tainted: G OE ------- --- 5.14.0-503.11.1.el9_5.x86_64 #1 [154565.553096] Hardware name: HPE Synergy 660 Gen10/Synergy 660 Gen10 Compute Module, BIOS I43 09/30/2024 [154565.553097] RIP: 0010:qla_fab_async_scan.part.0+0x40b/0x870 [qla2xxx] [154565.553141] Code: 00 00 e8 58 a3 ec d4 49 89 e9 ba 12 20 00 00 4c 89 e6 49 c7 c0 00 ee a8 c0 48 c7 c1 66 c0 a9 c0 bf 00 80 00 10 e8 15 69 00 00 <4c> 8b 8d f8 00 00 00 4d 85 c9 74 35 49 8b 84 24 00 19 00 00 48 8b [154565.553143] RSP: 0018:ffffb4dbc8aebdd0 EFLAGS: 00010286 [154565.553145] RAX: 0000000000000000 RBX: ffff8ec2cf0908d0 RCX: 0000000000000002 [154565.553147] RDX: 0000000000000000 RSI: ffffffffc0a9c896 RDI: ffffb4dbc8aebd47 [154565.553148] RBP: 0000000000000000 R08: ffffb4dbc8aebd45 R09: 0000000000ffff0a [154565.553150] R10: 0000000000000000 R11: 000000000000000f R12: ffff8ec2cf0908d0 [154565.553151] R13: ffff8ec2cf090900 R14: 0000000000000102 R15: ffff8ec2cf084000 [154565.553152] FS: 0000000000000000(0000) GS:ffff8ed27f800000(0000) knlGS:0000000000000000 [154565.553154] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [154565.553155] CR2: 00000000000000f8 CR3: 000000113ae0a005 CR4: 00000000007706f0 [154565.553157] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [154565.553158] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [154565.553159] PKRU: 55555554 [154565.553160] Call Trace: [154565.553162] <TASK> [154565.553165] ? show_trace_log_lvl+0x1c4/0x2df [154565.553172] ? show_trace_log_lvl+0x1c4/0x2df [154565.553177] ? qla_fab_async_scan.part.0+0x40b/0x870 [qla2xxx] [154565.553215] ? __die_body.cold+0x8/0xd [154565.553218] ? page_fault_oops+0x134/0x170 [154565.553223] ? snprintf+0x49/0x70 [154565.553229] ? exc_page_fault+0x62/0x150 [154565.553238] ? asm_exc_page_fault+0x22/0x30 Check for sp being non NULL before freeing any associated memory Уязвимость компонента scsi/qla2xxx/qla_gs.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: Fix potential block overflow that cause system hang When a user executes the FITRIM command, an underflow can occur when calculating nblocks if end_block is too small. Since nblocks is of type sector_t, which is u64, a negative nblocks value will become a very large positive integer. This ultimately leads to the block layer function __blkdev_issue_discard() taking an excessively long time to process the bio chain, and the ns_segctor_sem lock remains held for a long period. This prevents other tasks from acquiring the ns_segctor_sem lock, resulting in the hang reported by syzbot in [1]. If the ending block is too small, typically if it is smaller than 4KiB range, depending on the usage of the segment 0, it may be possible to attempt a discard request beyond the device size causing the hang. Exiting successfully and assign the discarded size (0 in this case) to range->len. Although the start and len values in the user input range are too small, a conservative strategy is adopted here to safely ignore them, which is equivalent to a no-op; it will not perform any trimming and will not throw an error. [1] task:segctord state:D stack:28968 pid:6093 tgid:6093 ppid:2 task_flags:0x200040 flags:0x00080000 Call Trace: rwbase_write_lock+0x3dd/0x750 kernel/locking/rwbase_rt.c:272 nilfs_transaction_lock+0x253/0x4c0 fs/nilfs2/segment.c:357 nilfs_segctor_thread_construct fs/nilfs2/segment.c:2569 [inline] nilfs_segctor_thread+0x6ec/0xe00 fs/nilfs2/segment.c:2684 [ryusuke: corrected part of the commit message about the consequences] Уязвимость компонента nilfs2/sufile.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Fix bsg_done() causing double free Kernel panic observed on system, [5353358.825191] BUG: unable to handle page fault for address: ff5f5e897b024000 [5353358.825194] #PF: supervisor write access in kernel mode [5353358.825195] #PF: error_code(0x0002) - not-present page [5353358.825196] PGD 100006067 P4D 0 [5353358.825198] Oops: 0002 [#1] PREEMPT SMP NOPTI [5353358.825200] CPU: 5 PID: 2132085 Comm: qlafwupdate.sub Kdump: loaded Tainted: G W L ------- --- 5.14.0-503.34.1.el9_5.x86_64 #1 [5353358.825203] Hardware name: HPE ProLiant DL360 Gen11/ProLiant DL360 Gen11, BIOS 2.44 01/17/2025 [5353358.825204] RIP: 0010:memcpy_erms+0x6/0x10 [5353358.825211] RSP: 0018:ff591da8f4f6b710 EFLAGS: 00010246 [5353358.825212] RAX: ff5f5e897b024000 RBX: 0000000000007090 RCX: 0000000000001000 [5353358.825213] RDX: 0000000000001000 RSI: ff591da8f4fed090 RDI: ff5f5e897b024000 [5353358.825214] RBP: 0000000000010000 R08: ff5f5e897b024000 R09: 0000000000000000 [5353358.825215] R10: ff46cf8c40517000 R11: 0000000000000001 R12: 0000000000008090 [5353358.825216] R13: ff591da8f4f6b720 R14: 0000000000001000 R15: 0000000000000000 [5353358.825218] FS: 00007f1e88d47740(0000) GS:ff46cf935f940000(0000) knlGS:0000000000000000 [5353358.825219] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [5353358.825220] CR2: ff5f5e897b024000 CR3: 0000000231532004 CR4: 0000000000771ef0 [5353358.825221] PKRU: 55555554 [5353358.825222] Call Trace: [5353358.825223] <TASK> [5353358.825224] ? show_trace_log_lvl+0x1c4/0x2df [5353358.825229] ? show_trace_log_lvl+0x1c4/0x2df [5353358.825232] ? sg_copy_buffer+0xc8/0x110 [5353358.825236] ? __die_body.cold+0x8/0xd [5353358.825238] ? page_fault_oops+0x134/0x170 [5353358.825242] ? kernelmode_fixup_or_oops+0x84/0x110 [5353358.825244] ? exc_page_fault+0xa8/0x150 [5353358.825247] ? asm_exc_page_fault+0x22/0x30 [5353358.825252] ? memcpy_erms+0x6/0x10 [5353358.825253] sg_copy_buffer+0xc8/0x110 [5353358.825259] qla2x00_process_vendor_specific+0x652/0x1320 [qla2xxx] [5353358.825317] qla24xx_bsg_request+0x1b2/0x2d0 [qla2xxx] Most routines in qla_bsg.c call bsg_done() only for success cases. However a few invoke it for failure case as well leading to a double free. Validate before calling bsg_done(). Уязвимость компонента scsi/qla2xxx/qla_bsg.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: fix infinite loop in attr_load_runs_range on inconsistent metadata We found an infinite loop bug in the ntfs3 file system that can lead to a Denial-of-Service (DoS) condition. A malformed NTFS image can cause an infinite loop when an attribute header indicates an empty run list, while directory entries reference it as containing actual data. In NTFS, setting evcn=-1 with svcn=0 is a valid way to represent an empty run list, and run_unpack() correctly handles this by checking if evcn + 1 equals svcn and returning early without parsing any run data. However, this creates a problem when there is metadata inconsistency, where the attribute header claims to be empty (evcn=-1) but the caller expects to read actual data. When run_unpack() immediately returns success upon seeing this condition, it leaves the runs_tree uninitialized with run->runs as a NULL. The calling function attr_load_runs_range() assumes that a successful return means that the runs were loaded and sets clen to 0, expecting the next run_lookup_entry() call to succeed. Because runs_tree remains uninitialized, run_lookup_entry() continues to fail, and the loop increments vcn by zero (vcn += 0), leading to an infinite loop. This patch adds a retry counter to detect when run_lookup_entry() fails consecutively after attr_load_runs_vcn(). If the run is still not found on the second attempt, it indicates corrupted metadata and returns -EINVAL, preventing the Denial-of-Service (DoS) vulnerability. Уязвимость компонента ntfs3/attrib.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого NTFS изображения [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: check return value of indx_find to avoid infinite loop We found an infinite loop bug in the ntfs3 file system that can lead to a Denial-of-Service (DoS) condition. A malformed dentry in the ntfs3 filesystem can cause the kernel to hang during the lookup operations. By setting the HAS_SUB_NODE flag in an INDEX_ENTRY within a directory's INDEX_ALLOCATION block and manipulating the VCN pointer, an attacker can cause the indx_find() function to repeatedly read the same block, allocating 4 KB of memory each time. The kernel lacks VCN loop detection and depth limits, causing memory exhaustion and an OOM crash. This patch adds a return value check for fnd_push() to prevent a memory exhaustion vulnerability caused by infinite loops. When the index exceeds the size of the fnd->nodes array, fnd_push() returns -EINVAL. The indx_find() function checks this return value and stops processing, preventing further memory allocation. Уязвимость компонента ntfs3 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: fix infinite loop triggered by zero-sized ATTR_LIST We found an infinite loop bug in the ntfs3 file system that can lead to a Denial-of-Service (DoS) condition. A malformed NTFS image can cause an infinite loop when an ATTR_LIST attribute indicates a zero data size while the driver allocates memory for it. When ntfs_load_attr_list() processes a resident ATTR_LIST with data_size set to zero, it still allocates memory because of al_aligned(0). This creates an inconsistent state where ni->attr_list.size is zero, but ni->attr_list.le is non-null. This causes ni_enum_attr_ex to incorrectly assume that no attribute list exists and enumerates only the primary MFT record. When it finds ATTR_LIST, the code reloads it and restarts the enumeration, repeating indefinitely. The mount operation never completes, hanging the kernel thread. This patch adds validation to ensure that data_size is non-zero before memory allocation. When a zero-sized ATTR_LIST is detected, the function returns -EINVAL, preventing a DoS vulnerability. Уязвимость компонента ntfs3/attrlist.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого NTFS изображения [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix reservation leak in some error paths when inserting inline extent If we fail to allocate a path or join a transaction, we return from __cow_file_range_inline() without freeing the reserved qgroup data, resulting in a leak. Fix this by ensuring we call btrfs_qgroup_free_data() in such cases. Уязвимость функции __cow_file_range_inline() модуля fs/btrfs/inode.c ядра операционной системы Linux связана с отсутствием высвобождения ресурсов после окончания срока действия лицензии. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rpmsg: core: fix race in driver_override_show() and use core helper The driver_override_show function reads the driver_override string without holding the device_lock. However, the store function modifies and frees the string while holding the device_lock. This creates a race condition where the string can be freed by the store function while being read by the show function, leading to a use-after-free. To fix this, replace the rpmsg_string_attr macro with explicit show and store functions. The new driver_override_store uses the standard driver_set_override helper. Since the introduction of driver_set_override, the comments in include/linux/rpmsg.h have stated that this helper must be used to set or clear driver_override, but the implementation was not updated until now. Because driver_set_override modifies and frees the string while holding the device_lock, the new driver_override_show now correctly holds the device_lock during the read operation to prevent the race. Additionally, since rpmsg_string_attr has only ever been used for driver_override, removing the macro simplifies the code. Уязвимость компонента rpmsg/rpmsg_core.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: bcm_vk: Fix possible null-pointer dereferences in bcm_vk_read() In the function bcm_vk_read(), the pointer entry is checked, indicating that it can be NULL. If entry is NULL and rc is set to -EMSGSIZE, the following code may cause null-pointer dereferences: struct vk_msg_blk tmp_msg = entry->to_h_msg[0]; set_msg_id(&tmp_msg, entry->usr_msg_id); tmp_msg.size = entry->to_h_blks - 1; To prevent these possible null-pointer dereferences, copy to_h_msg, usr_msg_id, and to_h_blks from iter into temporary variables, and return these temporary variables to the application instead of accessing them through a potentially NULL entry. Уязвимость компонента misc/bcm-vk/bcm_vk_msg.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: nlink overflow in jfs_rename If nlink is maximal for a directory (-1) and inside that directory you perform a rename for some child directory (not moving from the parent), then the nlink of the first directory is first incremented and later decremented. Normally this is fine, but when nlink = -1 this causes a wrap around to 0, and then drop_nlink issues a warning. After applying the patch syzbot no longer issues any warnings. I also ran some basic fs tests to look for any regressions. Уязвимость компонента jfs/namei.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/buffer: add alert in try_to_free_buffers() for folios without buffers try_to_free_buffers() can be called on folios with no buffers attached when filemap_release_folio() is invoked on a folio belonging to a mapping with AS_RELEASE_ALWAYS set but no release_folio operation defined. In such cases, folio_needs_release() returns true because of the AS_RELEASE_ALWAYS flag, but the folio has no private buffer data. This causes try_to_free_buffers() to call drop_buffers() on a folio with no buffers, leading to a null pointer dereference. Adding a check in try_to_free_buffers() to return early if the folio has no buffers attached, with WARN_ON_ONCE() to alert about the misconfiguration. This provides defensive hardening. Уязвимость компонента fs/buffer ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: 8822b: Avoid WARNING in rtw8822b_config_trx_mode() rtw8822b_set_antenna() can be called from userspace when the chip is powered off. In that case a WARNING is triggered in rtw8822b_config_trx_mode() because trying to read the RF registers when the chip is powered off returns an unexpected value. Call rtw8822b_config_trx_mode() in rtw8822b_set_antenna() only when the chip is powered on. ------------[ cut here ]------------ write RF mode table fail WARNING: CPU: 0 PID: 7183 at rtw8822b.c:824 rtw8822b_config_trx_mode.constprop.0+0x835/0x840 [rtw88_8822b] CPU: 0 UID: 0 PID: 7183 Comm: iw Tainted: G W OE 6.17.5-arch1-1 #1 PREEMPT(full) 01c39fc421df2af799dd5e9180b572af860b40c1 Tainted: [W]=WARN, [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: LENOVO 82KR/LNVNB161216, BIOS HBCN18WW 08/27/2021 RIP: 0010:rtw8822b_config_trx_mode.constprop.0+0x835/0x840 [rtw88_8822b] Call Trace: <TASK> rtw8822b_set_antenna+0x57/0x70 [rtw88_8822b 370206f42e5890d8d5f48eb358b759efa37c422b] rtw_ops_set_antenna+0x50/0x80 [rtw88_core 711c8fb4f686162be4625b1d0b8e8c6a5ac850fb] ieee80211_set_antenna+0x60/0x100 [mac80211 f1845d85d2ecacf3b71867635a050ece90486cf3] nl80211_set_wiphy+0x384/0xe00 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? netdev_run_todo+0x63/0x550 genl_family_rcv_msg_doit+0xfc/0x160 genl_rcv_msg+0x1aa/0x2b0 ? __pfx_nl80211_pre_doit+0x10/0x10 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? __pfx_nl80211_set_wiphy+0x10/0x10 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? __pfx_nl80211_post_doit+0x10/0x10 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? __pfx_genl_rcv_msg+0x10/0x10 netlink_rcv_skb+0x59/0x110 genl_rcv+0x28/0x40 netlink_unicast+0x285/0x3c0 ? __alloc_skb+0xdb/0x1a0 netlink_sendmsg+0x20d/0x430 ____sys_sendmsg+0x39f/0x3d0 ? import_iovec+0x2f/0x40 ___sys_sendmsg+0x99/0xe0 ? refill_obj_stock+0x12e/0x240 __sys_sendmsg+0x8a/0xf0 do_syscall_64+0x81/0x970 ? do_syscall_64+0x81/0x970 ? ksys_read+0x73/0xf0 ? do_syscall_64+0x81/0x970 ? count_memcg_events+0xc2/0x190 ? handle_mm_fault+0x1d7/0x2d0 ? do_user_addr_fault+0x21a/0x690 ? exc_page_fault+0x7e/0x1a0 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> ---[ end trace 0000000000000000 ]--- Уязвимость компонента wireless/realtek/rtw88/rtw8822b.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smack: /smack/doi: accept previously used values Writing to /smack/doi a value that has ever been written there in the past disables networking for non-ambient labels. E.g. # cat /smack/doi 3 # netlabelctl -p cipso list Configured CIPSO mappings (1) DOI value : 3 mapping type : PASS_THROUGH # netlabelctl -p map list Configured NetLabel domain mappings (3) domain: "_" (IPv4) protocol: UNLABELED domain: DEFAULT (IPv4) protocol: CIPSO, DOI = 3 domain: DEFAULT (IPv6) protocol: UNLABELED # cat /smack/ambient _ # cat /proc/$$/attr/smack/current _ # ping -c1 10.1.95.12 64 bytes from 10.1.95.12: icmp_seq=1 ttl=64 time=0.964 ms # echo foo >/proc/$$/attr/smack/current # ping -c1 10.1.95.12 64 bytes from 10.1.95.12: icmp_seq=1 ttl=64 time=0.956 ms unknown option 86 # echo 4 >/smack/doi # echo 3 >/smack/doi !> [ 214.050395] smk_cipso_doi:691 cipso add rc = -17 # echo 3 >/smack/doi !> [ 249.402261] smk_cipso_doi:678 remove rc = -2 !> [ 249.402261] smk_cipso_doi:691 cipso add rc = -17 # ping -c1 10.1.95.12 !!> ping: 10.1.95.12: Address family for hostname not supported # echo _ >/proc/$$/attr/smack/current # ping -c1 10.1.95.12 64 bytes from 10.1.95.12: icmp_seq=1 ttl=64 time=0.617 ms This happens because Smack keeps decommissioned DOIs, fails to re-add them, and consequently refuses to add the “default” domain map: # netlabelctl -p cipso list Configured CIPSO mappings (2) DOI value : 3 mapping type : PASS_THROUGH DOI value : 4 mapping type : PASS_THROUGH # netlabelctl -p map list Configured NetLabel domain mappings (2) domain: "_" (IPv4) protocol: UNLABELED !> (no ipv4 map for default domain here) domain: DEFAULT (IPv6) protocol: UNLABELED Fix by clearing decommissioned DOI definitions and serializing concurrent DOI updates with a new lock. Also: - allow /smack/doi to live unconfigured, since adding a map (netlbl_cfg_cipsov4_map_add) may fail. CIPSO_V4_DOI_UNKNOWN(0) indicates the unconfigured DOI - add new DOI before removing the old default map, so the old map remains if the add fails (2008-02-04, Casey Schaufler) Уязвимость компонента smack/smackfs.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/display/dp_mst: Add protection against 0 vcpi When releasing a timeslot there is a slight chance we may end up with the wrong payload mask due to overflow if the delayed_destroy_work ends up coming into play after a DP 2.1 monitor gets disconnected which causes vcpi to become 0 then we try to make the payload = ~BIT(vcpi - 1) which is a negative shift. VCPI id should never really be 0 hence skip changing the payload mask if VCPI is 0. Otherwise it leads to <7> [515.287237] xe 0000:03:00.0: [drm:drm_dp_mst_get_port_malloc [drm_display_helper]] port ffff888126ce9000 (3) <4> [515.287267] -----------[ cut here ]----------- <3> [515.287268] UBSAN: shift-out-of-bounds in ../drivers/gpu/drm/display/drm_dp_mst_topology.c:4575:36 <3> [515.287271] shift exponent -1 is negative <4> [515.287275] CPU: 7 UID: 0 PID: 3108 Comm: kworker/u64:33 Tainted: G S U 6.17.0-rc6-lgci-xe-xe-3795-3e79699fa1b216e92+ #1 PREEMPT(voluntary) <4> [515.287279] Tainted: [S]=CPU_OUT_OF_SPEC, [U]=USER <4> [515.287279] Hardware name: ASUS System Product Name/PRIME Z790-P WIFI, BIOS 1645 03/15/2024 <4> [515.287281] Workqueue: drm_dp_mst_wq drm_dp_delayed_destroy_work [drm_display_helper] <4> [515.287303] Call Trace: <4> [515.287304] <TASK> <4> [515.287306] dump_stack_lvl+0xc1/0xf0 <4> [515.287313] dump_stack+0x10/0x20 <4> [515.287316] __ubsan_handle_shift_out_of_bounds+0x133/0x2e0 <4> [515.287324] ? drm_atomic_get_private_obj_state+0x186/0x1d0 <4> [515.287333] drm_dp_atomic_release_time_slots.cold+0x17/0x3d [drm_display_helper] <4> [515.287355] mst_connector_atomic_check+0x159/0x180 [xe] <4> [515.287546] drm_atomic_helper_check_modeset+0x4d9/0xfa0 <4> [515.287550] ? __ww_mutex_lock.constprop.0+0x6f/0x1a60 <4> [515.287562] intel_atomic_check+0x119/0x2b80 [xe] <4> [515.287740] ? find_held_lock+0x31/0x90 <4> [515.287747] ? lock_release+0xce/0x2a0 <4> [515.287754] drm_atomic_check_only+0x6a2/0xb40 <4> [515.287758] ? drm_atomic_add_affected_connectors+0x12b/0x140 <4> [515.287765] drm_atomic_commit+0x6e/0xf0 <4> [515.287766] ? _pfx__drm_printfn_info+0x10/0x10 <4> [515.287774] drm_client_modeset_commit_atomic+0x25c/0x2b0 <4> [515.287794] drm_client_modeset_commit_locked+0x60/0x1b0 <4> [515.287795] ? mutex_lock_nested+0x1b/0x30 <4> [515.287801] drm_client_modeset_commit+0x26/0x50 <4> [515.287804] __drm_fb_helper_restore_fbdev_mode_unlocked+0xdc/0x110 <4> [515.287810] drm_fb_helper_hotplug_event+0x120/0x140 <4> [515.287814] drm_fbdev_client_hotplug+0x28/0xd0 <4> [515.287819] drm_client_hotplug+0x6c/0xf0 <4> [515.287824] drm_client_dev_hotplug+0x9e/0xd0 <4> [515.287829] drm_kms_helper_hotplug_event+0x1a/0x30 <4> [515.287834] drm_dp_delayed_destroy_work+0x3df/0x410 [drm_display_helper] <4> [515.287861] process_one_work+0x22b/0x6f0 <4> [515.287874] worker_thread+0x1e8/0x3d0 <4> [515.287879] ? __pfx_worker_thread+0x10/0x10 <4> [515.287882] kthread+0x11c/0x250 <4> [515.287886] ? __pfx_kthread+0x10/0x10 <4> [515.287890] ret_from_fork+0x2d7/0x310 <4> [515.287894] ? __pfx_kthread+0x10/0x10 <4> [515.287897] ret_from_fork_asm+0x1a/0x30 Уязвимость компонента drm/display/dp_mst ядра операционной системы Linux связана с неправильным побитовым смещением целого числа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 python3.11 The 'zipfile' module would not check the validity of the ZIP64 End of Central Directory (EOCD) Locator record offset value would not be used to locate the ZIP64 EOCD record, instead the ZIP64 EOCD record would be assumed to be the previous record in the ZIP archive. This could be abused to create ZIP archives that are handled differently by the 'zipfile' module compared to other ZIP implementations. Remediation maintains this behavior, but checks that the offset specified in the ZIP64 EOCD Locator record matches the expected value. Уязвимость модуля zipfile интерпретатора языка программирования Python (CPython) связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-1285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 When using http.cookies.Morsel, user-controlled cookie values and parameters can allow injecting HTTP headers into messages. Patch rejects all control characters within cookie names, values, and parameters. Уязвимость компонента http.cookies.Morsel интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 glibc Passing too large an alignment to the memalign suite of functions (memalign, posix_memalign, aligned_alloc) in the GNU C Library version 2.30 to 2.42 may result in an integer overflow, which could consequently result in a heap corruption. Note that the attacker must have control over both, the size as well as the alignment arguments of the memalign function to be able to exploit this. The size parameter must be close enough to PTRDIFF_MAX so as to overflow size_t along with the large alignment argument. This limits the malicious inputs for the alignment for memalign to the range [1<<62+ 1, 1<<63] and exactly 1<<63 for posix_memalign and aligned_alloc. Typically the alignment argument passed to such functions is a known constrained quantity (e.g. page size, block size, struct sizes) and is not attacker controlled, because of which this may not be easily exploitable in practice. An application bug could potentially result in the input alignment being too large, e.g. due to a different buffer overflow or integer overflow in the application or its dependent libraries, but that is again an uncommon usage pattern given typical sources of alignments. Уязвимость функций memalign, posix_memalign, aligned_alloc системной библиотеки GNU C Library связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) При использовании уязвимых функций memalign(), posix_memalign(), aligned_alloc(), valloc(), pvalloc() ПО glibc проверить, может ли аргумент `alignment` поступать и изменяться извне или из недоверенных источников. Если это так, то перед вызовом функций добавить проверку, что аргумент `alignment` является степенью двойки и не превышает максимального значения 65536. Astra Linux 3.8 python3.11 User-controlled header names and values containing newlines can allow injecting HTTP headers. Уязвимость интерпретатора языка программирования Python (CPython) связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-74')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 glibc Calling getnetbyaddr or getnetbyaddr_r with a configured nsswitch.conf that specifies the library's DNS backend for networks and queries for a zero-valued network in the GNU C Library version 2.0 to version 2.42 can leak stack contents to the configured DNS resolver. Уязвимость системной библиотеки GNU C Library связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) 1. Используя полномочия администратора системы с высоким уровнем целостности отредактировать файл `/etc/nsswitch.conf`, изменив строку, отвечающую за поиск сетевой информации. Например, если текущая конфигурация выглядит как `networks: files dns`, то её следует изменить на `networks: files`. 2. При использовании функций getnetbyaddr() или getnetbyaddr_r() библиотеки glibc проверять, что в них не передаётся параметр net со значением 0. Astra Linux 3.8 glib2.0 A flaw was found in glib. Missing validation of offset and count parameters in the g_buffered_input_stream_peek() function can lead to an integer overflow during length calculation. When specially crafted values are provided, this overflow results in an incorrect size being passed to memcpy(), triggering a buffer overflow. This can cause application crashes, leading to a Denial of Service (DoS). Уязвимость функции g_buffered_input_stream_peek() набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 libxml2 A flaw was identified in the RelaxNG parser of libxml2 related to how external schema inclusions are handled. The parser does not enforce a limit on inclusion depth when resolving nested <include> directives. Specially crafted or overly complex schemas can cause excessive recursion during parsing. This may lead to stack exhaustion and application crashes, creating a denial-of-service risk. Уязвимость библиотеки Libxml2 связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libxml2 A flaw was found in libxml2, an XML parsing library. This uncontrolled recursion vulnerability occurs in the xmlCatalogXMLResolveURI function when an XML catalog contains a delegate URI entry that references itself. A remote attacker could exploit this configuration-dependent issue by providing a specially crafted XML catalog, leading to infinite recursion and call stack exhaustion. This ultimately results in a segmentation fault, causing a Denial of Service (DoS) by crashing affected applications. Уязвимость компонента catalog.c библиотеки Libxml2 связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libxml2 A flaw was found in the libxml2 library. This uncontrolled resource consumption vulnerability occurs when processing XML catalogs that contain repeated <nextCatalog> elements pointing to the same downstream catalog. A remote attacker can exploit this by supplying crafted catalogs, causing the parser to redundantly traverse catalog chains. This leads to excessive CPU consumption and degrades application availability, resulting in a denial-of-service condition. Уязвимость компонента catalog.c библиотеки Libxml2 связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 python3.11 The email module, specifically the "BytesGenerator" class, didn’t properly quote newlines for email headers when serializing an email message allowing for header injection when an email is serialized. This is only applicable if using "LiteralHeader" writing headers that don't respect email folding rules, the new behavior will reject the incorrectly folded headers in "BytesGenerator". Уязвимость модуля email интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 glib2.0 A flaw was found in the GLib Base64 encoding routine when processing very large input data. Due to incorrect use of integer types during length calculation, the library may miscalculate buffer boundaries. This can cause memory writes outside the allocated buffer. Applications that process untrusted or extremely large Base64 input using GLib may crash or behave unpredictably. Уязвимость функции g_base64_encode_close() компонента glib/gbase64.c набора библиотек GLib связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 glib2.0 A flaw was found in Glib's content type parsing logic. This buffer underflow vulnerability occurs because the length of a header line is stored in a signed integer, which can lead to integer wraparound for very large inputs. This results in pointer underflow and out-of-bounds memory access. Exploitation requires a local user to install or process a specially crafted treemagic file, which can lead to local denial of service or application instability. Уязвимость функции parse_header() компонента gio/gcontenttype-fdo.c набора библиотек GLib связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L', score=2.8) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 glib2.0 A flaw was found in GLib. An integer overflow vulnerability in its Unicode case conversion implementation can lead to memory corruption. By processing specially crafted and extremely large Unicode strings, an attacker could trigger an undersized memory allocation, resulting in out-of-bounds writes. This could cause applications utilizing GLib for string conversion to crash or become unstable. Уязвимость функции g_unichar_to_utf8() компонента gutf8.c набора библиотек GLib связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L', score=5.4) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 3.8 python-urllib3 urllib3 is an HTTP client library for Python. urllib3's streaming API is designed for the efficient handling of large HTTP responses by reading the content in chunks, rather than loading the entire response body into memory at once. urllib3 can perform decoding or decompression based on the HTTP `Content-Encoding` header (e.g., `gzip`, `deflate`, `br`, or `zstd`). When using the streaming API, the library decompresses only the necessary bytes, enabling partial content consumption. Starting in version 1.22 and prior to version 2.6.3, for HTTP redirect responses, the library would read the entire response body to drain the connection and decompress the content unnecessarily. This decompression occurred even before any read methods were called, and configured read limits did not restrict the amount of decompressed data. As a result, there was no safeguard against decompression bombs. A malicious server could exploit this to trigger excessive resource consumption on the client. Applications and libraries are affected when they stream content from untrusted sources by setting `preload_content=False` when they do not disable redirects. Users should upgrade to at least urllib3 v2.6.3, in which the library does not decode content of redirect responses when `preload_content=False`. If upgrading is not immediately possible, disable redirects by setting `redirect=False` for requests to untrusted source. Уязвимость HTTP библиотеки для Python Urllib3 связана с некорректной обработкой сильно сжатых входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-409'), NistCWE(cwe='CWE-409')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-urllib3: - Использовать ПО python-urllib3 только на низком или отдельно выделенном уровне целостности - При использовании ПО python-urllib3 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-urllib3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 harfbuzz HarfBuzz is a text shaping engine. Prior to version 12.3.0, a null pointer dereference vulnerability exists in the SubtableUnicodesCache::create function located in src/hb-ot-cmap-table.hh. The function fails to check if hb_malloc returns NULL before using placement new to construct an object at the returned pointer address. When hb_malloc fails to allocate memory (which can occur in low-memory conditions or when using custom allocators that simulate allocation failures), it returns NULL. The code then attempts to call the constructor on this null pointer using placement new syntax, resulting in undefined behavior and a Segmentation Fault. This issue has been patched in version 12.3.0. Уязвимость функции SubtableUnicodesCache::create() компонента src/hb-ot-cmap-table.hh библиотеки для преобразования текста HarfBuzz связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Запускать приложения, использующие HarfBuzz, в изолированной программной среде с применением инструмента Firejail - При использовании ПО HarfBuzz выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска HarfBuzz только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From 1.6.51 to 1.6.53, there is a heap buffer over-read in the libpng simplified API function png_image_finish_read when processing interlaced 16-bit PNGs with 8-bit output format and non-minimal row stride. This is a regression introduced by the fix for CVE-2025-65018. This vulnerability is fixed in 1.6.54. Уязвимость функции png_image_read_direct_scaled() библиотеки libpng связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From 1.6.26 to 1.6.53, there is an integer truncation in the libpng simplified write API functions png_write_image_16bit and png_write_image_8bit causes heap buffer over-read when the caller provides a negative row stride (for bottom-up image layouts) or a stride exceeding 65535 bytes. The bug was introduced in libpng 1.6.26 (October 2016) by casts added to silence compiler warnings on 16-bit systems. This vulnerability is fixed in 1.6.54. Уязвимость функций png_write_image_16bit() и png_write_image_8bit() библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=6.8) Astra Linux 3.8 ruby-rack Rack is a modular Ruby web server interface. Prior to versions 2.2.22, 3.1.20, and 3.2.5, `Rack::Directory`’s path check used a string prefix match on the expanded path. A request like `/../root_example/` can escape the configured root if the target path starts with the root string, allowing directory listing outside the intended root. Versions 2.2.22, 3.1.20, and 3.2.5 fix the issue. Уязвимость модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) ruby-rack: - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 3.8 python3.11 The import hook in CPython that handles legacy *.pyc files (SourcelessFileLoader) is incorrectly handled in FileLoader (a base class) and so does not use io.open_code() to read the .pyc files. sys.audit handlers for this audit event therefore do not fire. Уязвимость класса FileLoader интерпретатора языка программирования Python (CPython) связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-668')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: Fix NULL deref when deactivating inactive aggregate in qfq_reset `qfq_class->leaf_qdisc->q.qlen > 0` does not imply that the class itself is active. Two qfq_class objects may point to the same leaf_qdisc. This happens when: 1. one QFQ qdisc is attached to the dev as the root qdisc, and 2. another QFQ qdisc is temporarily referenced (e.g., via qdisc_get() / qdisc_put()) and is pending to be destroyed, as in function tc_new_tfilter. When packets are enqueued through the root QFQ qdisc, the shared leaf_qdisc->q.qlen increases. At the same time, the second QFQ qdisc triggers qdisc_put and qdisc_destroy: the qdisc enters qfq_reset() with its own q->q.qlen == 0, but its class's leaf qdisc->q.qlen > 0. Therefore, the qfq_reset would wrongly deactivate an inactive aggregate and trigger a null-deref in qfq_deactivate_agg: [ 0.903172] BUG: kernel NULL pointer dereference, address: 0000000000000000 [ 0.903571] #PF: supervisor write access in kernel mode [ 0.903860] #PF: error_code(0x0002) - not-present page [ 0.904177] PGD 10299b067 P4D 10299b067 PUD 10299c067 PMD 0 [ 0.904502] Oops: Oops: 0002 [#1] SMP NOPTI [ 0.904737] CPU: 0 UID: 0 PID: 135 Comm: exploit Not tainted 6.19.0-rc3+ #2 NONE [ 0.905157] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.17.0-0-gb52ca86e094d-prebuilt.qemu.org 04/01/2014 [ 0.905754] RIP: 0010:qfq_deactivate_agg (include/linux/list.h:992 (discriminator 2) include/linux/list.h:1006 (discriminator 2) net/sched/sch_qfq.c:1367 (discriminator 2) net/sched/sch_qfq.c:1393 (discriminator 2)) [ 0.906046] Code: 0f 84 4d 01 00 00 48 89 70 18 8b 4b 10 48 c7 c2 ff ff ff ff 48 8b 78 08 48 d3 e2 48 21 f2 48 2b 13 48 8b 30 48 d3 ea 8b 4b 18 0 Code starting with the faulting instruction =========================================== 0: 0f 84 4d 01 00 00 je 0x153 6: 48 89 70 18 mov %rsi,0x18(%rax) a: 8b 4b 10 mov 0x10(%rbx),%ecx d: 48 c7 c2 ff ff ff ff mov $0xffffffffffffffff,%rdx 14: 48 8b 78 08 mov 0x8(%rax),%rdi 18: 48 d3 e2 shl %cl,%rdx 1b: 48 21 f2 and %rsi,%rdx 1e: 48 2b 13 sub (%rbx),%rdx 21: 48 8b 30 mov (%rax),%rsi 24: 48 d3 ea shr %cl,%rdx 27: 8b 4b 18 mov 0x18(%rbx),%ecx ... [ 0.907095] RSP: 0018:ffffc900004a39a0 EFLAGS: 00010246 [ 0.907368] RAX: ffff8881043a0880 RBX: ffff888102953340 RCX: 0000000000000000 [ 0.907723] RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 [ 0.908100] RBP: ffff888102952180 R08: 0000000000000000 R09: 0000000000000000 [ 0.908451] R10: ffff8881043a0000 R11: 0000000000000000 R12: ffff888102952000 [ 0.908804] R13: ffff888102952180 R14: ffff8881043a0ad8 R15: ffff8881043a0880 [ 0.909179] FS: 000000002a1a0380(0000) GS:ffff888196d8d000(0000) knlGS:0000000000000000 [ 0.909572] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 0.909857] CR2: 0000000000000000 CR3: 0000000102993002 CR4: 0000000000772ef0 [ 0.910247] PKRU: 55555554 [ 0.910391] Call Trace: [ 0.910527] <TASK> [ 0.910638] qfq_reset_qdisc (net/sched/sch_qfq.c:357 net/sched/sch_qfq.c:1485) [ 0.910826] qdisc_reset (include/linux/skbuff.h:2195 include/linux/skbuff.h:2501 include/linux/skbuff.h:3424 include/linux/skbuff.h:3430 net/sched/sch_generic.c:1036) [ 0.911040] __qdisc_destroy (net/sched/sch_generic.c:1076) [ 0.911236] tc_new_tfilter (net/sched/cls_api.c:2447) [ 0.911447] rtnetlink_rcv_msg (net/core/rtnetlink.c:6958) [ 0.911663] ? __pfx_rtnetlink_rcv_msg (net/core/rtnetlink.c:6861) [ 0.911894] netlink_rcv_skb (net/netlink/af_netlink.c:2550) [ 0.912100] netlink_unicast (net/netlink/af_netlink.c:1319 net/netlink/af_netlink.c:1344) [ 0.912296] ? __alloc_skb (net/core/skbuff.c:706) [ 0.912484] netlink_sendmsg (net/netlink/af ---truncated--- Уязвимость функции qfq_reset_qdisc() в модуле net/sched/sch_qfq.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sock: fix hardened usercopy panic in sock_recv_errqueue skbuff_fclone_cache was created without defining a usercopy region, [1] unlike skbuff_head_cache which properly whitelists the cb[] field. [2] This causes a usercopy BUG() when CONFIG_HARDENED_USERCOPY is enabled and the kernel attempts to copy sk_buff.cb data to userspace via sock_recv_errqueue() -> put_cmsg(). The crash occurs when: 1. TCP allocates an skb using alloc_skb_fclone() (from skbuff_fclone_cache) [1] 2. The skb is cloned via skb_clone() using the pre-allocated fclone [3] 3. The cloned skb is queued to sk_error_queue for timestamp reporting 4. Userspace reads the error queue via recvmsg(MSG_ERRQUEUE) 5. sock_recv_errqueue() calls put_cmsg() to copy serr->ee from skb->cb [4] 6. __check_heap_object() fails because skbuff_fclone_cache has no usercopy whitelist [5] When cloned skbs allocated from skbuff_fclone_cache are used in the socket error queue, accessing the sock_exterr_skb structure in skb->cb via put_cmsg() triggers a usercopy hardening violation: [ 5.379589] usercopy: Kernel memory exposure attempt detected from SLUB object 'skbuff_fclone_cache' (offset 296, size 16)! [ 5.382796] kernel BUG at mm/usercopy.c:102! [ 5.383923] Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI [ 5.384903] CPU: 1 UID: 0 PID: 138 Comm: poc_put_cmsg Not tainted 6.12.57 #7 [ 5.384903] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 5.384903] RIP: 0010:usercopy_abort+0x6c/0x80 [ 5.384903] Code: 1a 86 51 48 c7 c2 40 15 1a 86 41 52 48 c7 c7 c0 15 1a 86 48 0f 45 d6 48 c7 c6 80 15 1a 86 48 89 c1 49 0f 45 f3 e8 84 27 88 ff <0f> 0b 490 [ 5.384903] RSP: 0018:ffffc900006f77a8 EFLAGS: 00010246 [ 5.384903] RAX: 000000000000006f RBX: ffff88800f0ad2a8 RCX: 1ffffffff0f72e74 [ 5.384903] RDX: 0000000000000000 RSI: 0000000000000004 RDI: ffffffff87b973a0 [ 5.384903] RBP: 0000000000000010 R08: 0000000000000000 R09: fffffbfff0f72e74 [ 5.384903] R10: 0000000000000003 R11: 79706f6372657375 R12: 0000000000000001 [ 5.384903] R13: ffff88800f0ad2b8 R14: ffffea00003c2b40 R15: ffffea00003c2b00 [ 5.384903] FS: 0000000011bc4380(0000) GS:ffff8880bf100000(0000) knlGS:0000000000000000 [ 5.384903] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 5.384903] CR2: 000056aa3b8e5fe4 CR3: 000000000ea26004 CR4: 0000000000770ef0 [ 5.384903] PKRU: 55555554 [ 5.384903] Call Trace: [ 5.384903] <TASK> [ 5.384903] __check_heap_object+0x9a/0xd0 [ 5.384903] __check_object_size+0x46c/0x690 [ 5.384903] put_cmsg+0x129/0x5e0 [ 5.384903] sock_recv_errqueue+0x22f/0x380 [ 5.384903] tls_sw_recvmsg+0x7ed/0x1960 [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5.384903] ? schedule+0x6d/0x270 [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5.384903] ? mutex_unlock+0x81/0xd0 [ 5.384903] ? __pfx_mutex_unlock+0x10/0x10 [ 5.384903] ? __pfx_tls_sw_recvmsg+0x10/0x10 [ 5.384903] ? _raw_spin_lock_irqsave+0x8f/0xf0 [ 5.384903] ? _raw_read_unlock_irqrestore+0x20/0x40 [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5 The crash offset 296 corresponds to skb2->cb within skbuff_fclones: - sizeof(struct sk_buff) = 232 - offsetof(struct sk_buff, cb) = 40 - offset of skb2.cb in fclones = 232 + 40 = 272 - crash offset 296 = 272 + 24 (inside sock_exterr_skb.ee) This patch uses a local stack variable as a bounce buffer to avoid the hardened usercopy check failure. [1] https://elixir.bootlin.com/linux/v6.12.62/source/net/ipv4/tcp.c#L885 [2] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5104 [3] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5566 [4] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5491 [5] https://elixir.bootlin.com/linux/v6.12.62/source/mm/slub.c#L5719 Уязвимость компонента core/sock.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: avoid kernel-infoleak from struct iw_point struct iw_point has a 32bit hole on 64bit arches. struct iw_point { void __user *pointer; /* Pointer to the data (in user space) */ __u16 length; /* number of fields or size in bytes */ __u16 flags; /* Optional params */ }; Make sure to zero the structure to avoid disclosing 32bits of kernel data to user space. Уязвимость компонента wireless/wext-core.c ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix memory leak in skb_segment_list for GRO packets When skb_segment_list() is called during packet forwarding, it handles packets that were aggregated by the GRO engine. Historically, the segmentation logic in skb_segment_list assumes that individual segments are split from a parent SKB and may need to carry their own socket memory accounting. Accordingly, the code transfers truesize from the parent to the newly created segments. Prior to commit ed4cccef64c1 ("gro: fix ownership transfer"), this truesize subtraction in skb_segment_list() was valid because fragments still carry a reference to the original socket. However, commit ed4cccef64c1 ("gro: fix ownership transfer") changed this behavior by ensuring that fraglist entries are explicitly orphaned (skb->sk = NULL) to prevent illegal orphaning later in the stack. This change meant that the entire socket memory charge remained with the head SKB, but the corresponding accounting logic in skb_segment_list() was never updated. As a result, the current code unconditionally adds each fragment's truesize to delta_truesize and subtracts it from the parent SKB. Since the fragments are no longer charged to the socket, this subtraction results in an effective under-count of memory when the head is freed. This causes sk_wmem_alloc to remain non-zero, preventing socket destruction and leading to a persistent memory leak. The leak can be observed via KMEMLEAK when tearing down the networking environment: unreferenced object 0xffff8881e6eb9100 (size 2048): comm "ping", pid 6720, jiffies 4295492526 backtrace: kmem_cache_alloc_noprof+0x5c6/0x800 sk_prot_alloc+0x5b/0x220 sk_alloc+0x35/0xa00 inet6_create.part.0+0x303/0x10d0 __sock_create+0x248/0x640 __sys_socket+0x11b/0x1d0 Since skb_segment_list() is exclusively used for SKB_GSO_FRAGLIST packets constructed by GRO, the truesize adjustment is removed. The call to skb_release_head_state() must be preserved. As documented in commit cf673ed0e057 ("net: fix fraglist segmentation reference count leak"), it is still required to correctly drop references to SKB extensions that may be overwritten during __copy_skb_header(). Уязвимость компонента core/skbuff.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: provide locking for v4_end_grace Writing to v4_end_grace can race with server shutdown and result in memory being accessed after it was freed - reclaim_str_hashtbl in particularly. We cannot hold nfsd_mutex across the nfsd4_end_grace() call as that is held while client_tracking_op->init() is called and that can wait for an upcall to nfsdcltrack which can write to v4_end_grace, resulting in a deadlock. nfsd4_end_grace() is also called by the landromat work queue and this doesn't require locking as server shutdown will stop the work and wait for it before freeing anything that nfsd4_end_grace() might access. However, we must be sure that writing to v4_end_grace doesn't restart the work item after shutdown has already waited for it. For this we add a new flag protected with nn->client_lock. It is set only while it is safe to make client tracking calls, and v4_end_grace only schedules work while the flag is set with the spinlock held. So this patch adds a nfsd_net field "client_tracking_active" which is set as described. Another field "grace_end_forced", is set when v4_end_grace is written. After this is set, and providing client_tracking_active is set, the laundromat is scheduled. This "grace_end_forced" field bypasses other checks for whether the grace period has finished. This resolves a race which can result in use-after-free. Уязвимость компонента nfsd/netns.h ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: mscc: ocelot: Fix crash when adding interface under a lag Commit 15faa1f67ab4 ("lan966x: Fix crash when adding interface under a lag") fixed a similar issue in the lan966x driver caused by a NULL pointer dereference. The ocelot_set_aggr_pgids() function in the ocelot driver has similar logic and is susceptible to the same crash. This issue specifically affects the ocelot_vsc7514.c frontend, which leaves unused ports as NULL pointers. The felix_vsc9959.c frontend is unaffected as it uses the DSA framework which registers all ports. Fix this by checking if the port pointer is valid before accessing it. Уязвимость функции ocelot_set_aggr_pgids() модуля drivers/net/ethernet/mscc/ocelot.c драйвера сетевых адаптеров Microsemi ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: prevent potential out-of-bounds reads in handle_auth_done() Perform an explicit bounds check on payload_len to avoid a possible out-of-bounds access in the callout. [ idryomov: changelog ] Уязвимость компонента ceph/messenger_v2.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: replace overzealous BUG_ON in osdmap_apply_incremental() If the osdmap is (maliciously) corrupted such that the incremental osdmap epoch is different from what is expected, there is no need to BUG. Instead, just declare the incremental osdmap to be invalid. Уязвимость функции osdmap_apply_incremental() модуля net/ceph/osdmap.c ядра операционной системы Linux связана с неконтролируемым достижимым утверждением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: make free_choose_arg_map() resilient to partial allocation free_choose_arg_map() may dereference a NULL pointer if its caller fails after a partial allocation. For example, in decode_choose_args(), if allocation of arg_map->args fails, execution jumps to the fail label and free_choose_arg_map() is called. Since arg_map->size is updated to a non-zero value before memory allocation, free_choose_arg_map() will iterate over arg_map->args and dereference a NULL pointer. To prevent this potential NULL pointer dereference and make free_choose_arg_map() more resilient, add checks for pointers before iterating. Уязвимость функции alloc_choose_arg_map() модуля net/ceph/osdmap.c реализации сетевых функций ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: return the handler error from mon_handle_auth_done() Currently any error from ceph_auth_handle_reply_done() is propagated via finish_auth() but isn't returned from mon_handle_auth_done(). This results in higher layers learning that (despite the monitor considering us to be successfully authenticated) something went wrong in the authentication phase and reacting accordingly, but msgr2 still trying to proceed with establishing the session in the background. In the case of secure mode this can trigger a WARN in setup_crypto() and later lead to a NULL pointer dereference inside of prepare_auth_signature(). Уязвимость компонента ceph/mon_client.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix reference count leak in bpf_prog_test_run_xdp() syzbot is reporting unregister_netdevice: waiting for sit0 to become free. Usage count = 2 problem. A debug printk() patch found that a refcount is obtained at xdp_convert_md_to_buff() from bpf_prog_test_run_xdp(). According to commit ec94670fcb3b ("bpf: Support specifying ingress via xdp_md context in BPF_PROG_TEST_RUN"), the refcount obtained by xdp_convert_md_to_buff() will be released by xdp_convert_buff_to_md(). Therefore, we can consider that the error handling path introduced by commit 1c1949982524 ("bpf: introduce frags support to bpf_prog_test_run_xdp()") forgot to call xdp_convert_buff_to_md(). Уязвимость функции bpf_prog_test_run_xdp() в модуле net/bpf/test_run.c реализации сетевых функций ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: can: j1939: j1939_xtp_rx_rts_session_active(): deactivate session upon receiving the second rts Since j1939_session_deactivate_activate_next() in j1939_tp_rxtimer() is called only when the timer is enabled, we need to call j1939_session_deactivate_activate_next() if we cancelled the timer. Otherwise, refcount for j1939_session leaks, which will later appear as | unregister_netdevice: waiting for vcan0 to become free. Usage count = 2. problem. Уязвимость функции j1939_xtp_rx_rts_session_active() ядра операционной системы связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-tcp: fix NULL pointer dereferences in nvmet_tcp_build_pdu_iovec Commit efa56305908b ("nvmet-tcp: Fix a kernel panic when host sends an invalid H2C PDU length") added ttag bounds checking and data_offset validation in nvmet_tcp_handle_h2c_data_pdu(), but it did not validate whether the command's data structures (cmd->req.sg and cmd->iov) have been properly initialized before processing H2C_DATA PDUs. The nvmet_tcp_build_pdu_iovec() function dereferences these pointers without NULL checks. This can be triggered by sending H2C_DATA PDU immediately after the ICREQ/ICRESP handshake, before sending a CONNECT command or NVMe write command. Attack vectors that trigger NULL pointer dereferences: 1. H2C_DATA PDU sent before CONNECT → both pointers NULL 2. H2C_DATA PDU for READ command → cmd->req.sg allocated, cmd->iov NULL 3. H2C_DATA PDU for uninitialized command slot → both pointers NULL The fix validates both cmd->req.sg and cmd->iov before calling nvmet_tcp_build_pdu_iovec(). Both checks are required because: - Uninitialized commands: both NULL - READ commands: cmd->req.sg allocated, cmd->iov NULL - WRITE commands: both allocated Уязвимость функции nvmet_tcp_handle_h2c_data_pdu() ядра операционной системы связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: do not free existing class in qfq_change_class() Fixes qfq_change_class() error case. cl->qdisc and cl should only be freed if a new class and qdisc were allocated, or we risk various UAF. Уязвимость функции qfq_change_class() ядра операционной системы связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macvlan: fix possible UAF in macvlan_forward_source() Add RCU protection on (struct macvlan_source_entry)->vlan. Whenever macvlan_hash_del_source() is called, we must clear entry->vlan pointer before RCU grace period starts. This allows macvlan_forward_source() to skip over entries queued for freeing. Note that macvlan_dev are already RCU protected, as they are embedded in a standard netdev (netdev_priv(ndev)). https: //lore.kernel.org/netdev/695fb1e8.050a0220.1c677c.039f.GAE@google.com/T/#u Уязвимость функции macvlan_forward_source() ядра операционной системы связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-23001 необходимо запретить загрузку модуля macvlan.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль macvlan в ядро системы, для этого выполнить одну из команд: `lsmod | grep macvlan` или `kmod list | grep macvlan` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля macvlan: `sudo rmmod macvlan` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-macvlan.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install macvlan /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ip6_tunnel: use skb_vlan_inet_prepare() in __ip6_tnl_rcv() Blamed commit did not take care of VLAN encapsulations as spotted by syzbot [1]. Use skb_vlan_inet_prepare() instead of pskb_inet_may_pull(). [1] BUG: KMSAN: uninit-value in __INET_ECN_decapsulate include/net/inet_ecn.h:253 [inline] BUG: KMSAN: uninit-value in INET_ECN_decapsulate include/net/inet_ecn.h:275 [inline] BUG: KMSAN: uninit-value in IP6_ECN_decapsulate+0x7a8/0x1fa0 include/net/inet_ecn.h:321 __INET_ECN_decapsulate include/net/inet_ecn.h:253 [inline] INET_ECN_decapsulate include/net/inet_ecn.h:275 [inline] IP6_ECN_decapsulate+0x7a8/0x1fa0 include/net/inet_ecn.h:321 ip6ip6_dscp_ecn_decapsulate+0x16f/0x1b0 net/ipv6/ip6_tunnel.c:729 __ip6_tnl_rcv+0xed9/0x1b50 net/ipv6/ip6_tunnel.c:860 ip6_tnl_rcv+0xc3/0x100 net/ipv6/ip6_tunnel.c:903 gre_rcv+0x1529/0x1b90 net/ipv6/ip6_gre.c:-1 ip6_protocol_deliver_rcu+0x1c89/0x2c60 net/ipv6/ip6_input.c:438 ip6_input_finish+0x1f4/0x4a0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] ip6_input+0x9c/0x330 net/ipv6/ip6_input.c:500 ip6_mc_input+0x7ca/0xc10 net/ipv6/ip6_input.c:590 dst_input include/net/dst.h:474 [inline] ip6_rcv_finish+0x958/0x990 net/ipv6/ip6_input.c:79 NF_HOOK include/linux/netfilter.h:318 [inline] ipv6_rcv+0xf1/0x3c0 net/ipv6/ip6_input.c:311 __netif_receive_skb_one_core net/core/dev.c:6139 [inline] __netif_receive_skb+0x1df/0xac0 net/core/dev.c:6252 netif_receive_skb_internal net/core/dev.c:6338 [inline] netif_receive_skb+0x57/0x630 net/core/dev.c:6397 tun_rx_batched+0x1df/0x980 drivers/net/tun.c:1485 tun_get_user+0x5c0e/0x6c60 drivers/net/tun.c:1953 tun_chr_write_iter+0x3e9/0x5c0 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0xbe2/0x15d0 fs/read_write.c:686 ksys_write fs/read_write.c:738 [inline] __do_sys_write fs/read_write.c:749 [inline] __se_sys_write fs/read_write.c:746 [inline] __x64_sys_write+0x1fb/0x4d0 fs/read_write.c:746 x64_sys_call+0x30ab/0x3e70 arch/x86/include/generated/asm/syscalls_64.h:2 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd3/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4960 [inline] slab_alloc_node mm/slub.c:5263 [inline] kmem_cache_alloc_node_noprof+0x9e7/0x17a0 mm/slub.c:5315 kmalloc_reserve+0x13c/0x4b0 net/core/skbuff.c:586 __alloc_skb+0x805/0x1040 net/core/skbuff.c:690 alloc_skb include/linux/skbuff.h:1383 [inline] alloc_skb_with_frags+0xc5/0xa60 net/core/skbuff.c:6712 sock_alloc_send_pskb+0xacc/0xc60 net/core/sock.c:2995 tun_alloc_skb drivers/net/tun.c:1461 [inline] tun_get_user+0x1142/0x6c60 drivers/net/tun.c:1794 tun_chr_write_iter+0x3e9/0x5c0 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0xbe2/0x15d0 fs/read_write.c:686 ksys_write fs/read_write.c:738 [inline] __do_sys_write fs/read_write.c:749 [inline] __se_sys_write fs/read_write.c:746 [inline] __x64_sys_write+0x1fb/0x4d0 fs/read_write.c:746 x64_sys_call+0x30ab/0x3e70 arch/x86/include/generated/asm/syscalls_64.h:2 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd3/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 0 UID: 0 PID: 6465 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(none) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Уязвимость функции skb_vlan_inet_prepare() ядра операционной системы связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/fpu: Clear XSTATE_BV[i] in guest XSAVE state whenever XFD[i]=1 When loading guest XSAVE state via KVM_SET_XSAVE, and when updating XFD in response to a guest WRMSR, clear XFD-disabled features in the saved (or to be restored) XSTATE_BV to ensure KVM doesn't attempt to load state for features that are disabled via the guest's XFD. Because the kernel executes XRSTOR with the guest's XFD, saving XSTATE_BV[i]=1 with XFD[i]=1 will cause XRSTOR to #NM and panic the kernel. E.g. if fpu_update_guest_xfd() sets XFD without clearing XSTATE_BV: ------------[ cut here ]------------ WARNING: arch/x86/kernel/traps.c:1524 at exc_device_not_available+0x101/0x110, CPU#29: amx_test/848 Modules linked in: kvm_intel kvm irqbypass CPU: 29 UID: 1000 PID: 848 Comm: amx_test Not tainted 6.19.0-rc2-ffa07f7fd437-x86_amx_nm_xfd_non_init-vm #171 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:exc_device_not_available+0x101/0x110 Call Trace: <TASK> asm_exc_device_not_available+0x1a/0x20 RIP: 0010:restore_fpregs_from_fpstate+0x36/0x90 switch_fpu_return+0x4a/0xb0 kvm_arch_vcpu_ioctl_run+0x1245/0x1e40 [kvm] kvm_vcpu_ioctl+0x2c3/0x8f0 [kvm] __x64_sys_ioctl+0x8f/0xd0 do_syscall_64+0x62/0x940 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> ---[ end trace 0000000000000000 ]--- This can happen if the guest executes WRMSR(MSR_IA32_XFD) to set XFD[18] = 1, and a host IRQ triggers kernel_fpu_begin() prior to the vmexit handler's call to fpu_update_guest_xfd(). and if userspace stuffs XSTATE_BV[i]=1 via KVM_SET_XSAVE: ------------[ cut here ]------------ WARNING: arch/x86/kernel/traps.c:1524 at exc_device_not_available+0x101/0x110, CPU#14: amx_test/867 Modules linked in: kvm_intel kvm irqbypass CPU: 14 UID: 1000 PID: 867 Comm: amx_test Not tainted 6.19.0-rc2-2dace9faccd6-x86_amx_nm_xfd_non_init-vm #168 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:exc_device_not_available+0x101/0x110 Call Trace: <TASK> asm_exc_device_not_available+0x1a/0x20 RIP: 0010:restore_fpregs_from_fpstate+0x36/0x90 fpu_swap_kvm_fpstate+0x6b/0x120 kvm_load_guest_fpu+0x30/0x80 [kvm] kvm_arch_vcpu_ioctl_run+0x85/0x1e40 [kvm] kvm_vcpu_ioctl+0x2c3/0x8f0 [kvm] __x64_sys_ioctl+0x8f/0xd0 do_syscall_64+0x62/0x940 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> ---[ end trace 0000000000000000 ]--- The new behavior is consistent with the AMX architecture. Per Intel's SDM, XSAVE saves XSTATE_BV as '0' for components that are disabled via XFD (and non-compacted XSAVE saves the initial configuration of the state component): If XSAVE, XSAVEC, XSAVEOPT, or XSAVES is saving the state component i, the instruction does not generate #NM when XCR0[i] = IA32_XFD[i] = 1; instead, it operates as if XINUSE[i] = 0 (and the state component was in its initial state): it saves bit i of XSTATE_BV field of the XSAVE header as 0; in addition, XSAVE saves the initial configuration of the state component (the other instructions do not save state component i). Alternatively, KVM could always do XRSTOR with XFD=0, e.g. by using a constant XFD based on the set of enabled features when XSAVEing for a struct fpu_guest. However, having XSTATE_BV[i]=1 for XFD-disabled features can only happen in the above interrupt case, or in similar scenarios involving preemption on preemptible kernels, because fpu_swap_kvm_fpstate()'s call to save_fpregs_to_fpstate() saves the outgoing FPU state with the current XFD; and that is (on all but the first WRMSR to XFD) the guest XFD. Therefore, XFD can only go out of sync with XSTATE_BV in the above interrupt case, or in similar scenarios involving preemption on preemptible kernels, and it we can consider it (de facto) part of KVM ABI that KVM_GET_XSAVE returns XSTATE_BV[i]=0 for XFD-disabled features. [Move clea ---truncated--- Уязвимость модулей arch/x86/kvm/x86.c и arch/x86/kernel/fpu/core.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: tlv320adcx140: fix null pointer The "snd_soc_component" in "adcx140_priv" was only used once but never set. It was only used for reaching "dev" which is already present in "adcx140_priv". Уязвимость компонента ASoC ядра операционной системы связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix use-after-free in inet6_addr_del(). syzbot reported use-after-free of inet6_ifaddr in inet6_addr_del(). [0] The cited commit accidentally moved ipv6_del_addr() for mngtmpaddr before reading its ifp->flags for temporary addresses in inet6_addr_del(). Let's move ipv6_del_addr() down to fix the UAF. [0]: BUG: KASAN: slab-use-after-free in inet6_addr_del.constprop.0+0x67a/0x6b0 net/ipv6/addrconf.c:3117 Read of size 4 at addr ffff88807b89c86c by task syz.3.1618/9593 CPU: 0 UID: 0 PID: 9593 Comm: syz.3.1618 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcd/0x630 mm/kasan/report.c:482 kasan_report+0xe0/0x110 mm/kasan/report.c:595 inet6_addr_del.constprop.0+0x67a/0x6b0 net/ipv6/addrconf.c:3117 addrconf_del_ifaddr+0x11e/0x190 net/ipv6/addrconf.c:3181 inet6_ioctl+0x1e5/0x2b0 net/ipv6/af_inet6.c:582 sock_do_ioctl+0x118/0x280 net/socket.c:1254 sock_ioctl+0x227/0x6b0 net/socket.c:1375 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl fs/ioctl.c:583 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f164cf8f749 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f164de64038 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007f164d1e5fa0 RCX: 00007f164cf8f749 RDX: 0000200000000000 RSI: 0000000000008936 RDI: 0000000000000003 RBP: 00007f164d013f91 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007f164d1e6038 R14: 00007f164d1e5fa0 R15: 00007ffde15c8288 </TASK> Allocated by task 9593: kasan_save_stack+0x33/0x60 mm/kasan/common.c:56 kasan_save_track+0x14/0x30 mm/kasan/common.c:77 poison_kmalloc_redzone mm/kasan/common.c:397 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:414 kmalloc_noprof include/linux/slab.h:957 [inline] kzalloc_noprof include/linux/slab.h:1094 [inline] ipv6_add_addr+0x4e3/0x2010 net/ipv6/addrconf.c:1120 inet6_addr_add+0x256/0x9b0 net/ipv6/addrconf.c:3050 addrconf_add_ifaddr+0x1fc/0x450 net/ipv6/addrconf.c:3160 inet6_ioctl+0x103/0x2b0 net/ipv6/af_inet6.c:580 sock_do_ioctl+0x118/0x280 net/socket.c:1254 sock_ioctl+0x227/0x6b0 net/socket.c:1375 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl fs/ioctl.c:583 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 6099: kasan_save_stack+0x33/0x60 mm/kasan/common.c:56 kasan_save_track+0x14/0x30 mm/kasan/common.c:77 kasan_save_free_info+0x3b/0x60 mm/kasan/generic.c:584 poison_slab_object mm/kasan/common.c:252 [inline] __kasan_slab_free+0x5f/0x80 mm/kasan/common.c:284 kasan_slab_free include/linux/kasan.h:234 [inline] slab_free_hook mm/slub.c:2540 [inline] slab_free_freelist_hook mm/slub.c:2569 [inline] slab_free_bulk mm/slub.c:6696 [inline] kmem_cache_free_bulk mm/slub.c:7383 [inline] kmem_cache_free_bulk+0x2bf/0x680 mm/slub.c:7362 kfree_bulk include/linux/slab.h:830 [inline] kvfree_rcu_bulk+0x1b7/0x1e0 mm/slab_common.c:1523 kvfree_rcu_drain_ready mm/slab_common.c:1728 [inline] kfree_rcu_monitor+0x1d0/0x2f0 mm/slab_common.c:1801 process_one_work+0x9ba/0x1b20 kernel/workqueue.c:3257 process_scheduled_works kernel/workqu ---truncated--- Уязвимость функции inet6_addr_del() ядра операционной системы связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: ip_gre: make ipgre_header() robust Analog to commit db5b4e39c4e6 ("ip6_gre: make ip6gre_header() robust") Over the years, syzbot found many ways to crash the kernel in ipgre_header() [1]. This involves team or bonding drivers ability to dynamically change their dev->needed_headroom and/or dev->hard_header_len In this particular crash mld_newpack() allocated an skb with a too small reserve/headroom, and by the time mld_sendpack() was called, syzbot managed to attach an ipgre device. [1] skbuff: skb_under_panic: text:ffffffff89ea3cb7 len:2030915468 put:2030915372 head:ffff888058b43000 data:ffff887fdfa6e194 tail:0x120 end:0x6c0 dev:team0 kernel BUG at net/core/skbuff.c:213 ! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 1 UID: 0 PID: 1322 Comm: kworker/1:9 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Workqueue: mld mld_ifc_work RIP: 0010:skb_panic+0x157/0x160 net/core/skbuff.c:213 Call Trace: <TASK> skb_under_panic net/core/skbuff.c:223 [inline] skb_push+0xc3/0xe0 net/core/skbuff.c:2641 ipgre_header+0x67/0x290 net/ipv4/ip_gre.c:897 dev_hard_header include/linux/netdevice.h:3436 [inline] neigh_connected_output+0x286/0x460 net/core/neighbour.c:1618 NF_HOOK_COND include/linux/netfilter.h:307 [inline] ip6_output+0x340/0x550 net/ipv6/ip6_output.c:247 NF_HOOK+0x9e/0x380 include/linux/netfilter.h:318 mld_sendpack+0x8d4/0xe60 net/ipv6/mcast.c:1855 mld_send_cr net/ipv6/mcast.c:2154 [inline] mld_ifc_work+0x83e/0xd60 net/ipv6/mcast.c:2693 process_one_work kernel/workqueue.c:3257 [inline] process_scheduled_works+0xad1/0x1770 kernel/workqueue.c:3340 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3421 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x510/0xa50 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:246 Уязвимость функции ipgre_header() модуля net/ipv4/ip_gre.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: marvell: prestera: fix NULL dereference on devlink_alloc() failure devlink_alloc() may return NULL on allocation failure, but prestera_devlink_alloc() unconditionally calls devlink_priv() on the returned pointer. This leads to a NULL pointer dereference if devlink allocation fails. Add a check for a NULL devlink pointer and return NULL early to avoid the crash. Уязвимость функции prestera_devlink_alloc() модуля drivers/net/ethernet/marvell/prestera/prestera_devlink.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: 3com: 3c59x: fix possible null dereference in vortex_probe1() pdev can be null and free_ring: can be called in 1297 with a null pdev. Уязвимость функции vortex_probe1() модуля drivers/net/ethernet/3com/3c59x.c драйвера сетевых адаптеров Ethernet ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: pegasus: fix memory leak in update_eth_regs_async() When asynchronously writing to the device registers and if usb_submit_urb() fail, the code fail to release allocated to this point resources. Уязвимость функции update_eth_regs_async() модуля drivers/net/usb/pegasus.c драйвера сетевых адаптеров USB ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/page_alloc: prevent pcp corruption with SMP=n The kernel test robot has reported: BUG: spinlock trylock failure on UP on CPU#0, kcompactd0/28 lock: 0xffff888807e35ef0, .magic: dead4ead, .owner: kcompactd0/28, .owner_cpu: 0 CPU: 0 UID: 0 PID: 28 Comm: kcompactd0 Not tainted 6.18.0-rc5-00127-ga06157804399 #1 PREEMPT 8cc09ef94dcec767faa911515ce9e609c45db470 Call Trace: <IRQ> __dump_stack (lib/dump_stack.c:95) dump_stack_lvl (lib/dump_stack.c:123) dump_stack (lib/dump_stack.c:130) spin_dump (kernel/locking/spinlock_debug.c:71) do_raw_spin_trylock (kernel/locking/spinlock_debug.c:?) _raw_spin_trylock (include/linux/spinlock_api_smp.h:89 kernel/locking/spinlock.c:138) __free_frozen_pages (mm/page_alloc.c:2973) ___free_pages (mm/page_alloc.c:5295) __free_pages (mm/page_alloc.c:5334) tlb_remove_table_rcu (include/linux/mm.h:? include/linux/mm.h:3122 include/asm-generic/tlb.h:220 mm/mmu_gather.c:227 mm/mmu_gather.c:290) ? __cfi_tlb_remove_table_rcu (mm/mmu_gather.c:289) ? rcu_core (kernel/rcu/tree.c:?) rcu_core (include/linux/rcupdate.h:341 kernel/rcu/tree.c:2607 kernel/rcu/tree.c:2861) rcu_core_si (kernel/rcu/tree.c:2879) handle_softirqs (arch/x86/include/asm/jump_label.h:36 include/trace/events/irq.h:142 kernel/softirq.c:623) __irq_exit_rcu (arch/x86/include/asm/jump_label.h:36 kernel/softirq.c:725) irq_exit_rcu (kernel/softirq.c:741) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1052) </IRQ> <TASK> RIP: 0010:_raw_spin_unlock_irqrestore (arch/x86/include/asm/preempt.h:95 include/linux/spinlock_api_smp.h:152 kernel/locking/spinlock.c:194) free_pcppages_bulk (mm/page_alloc.c:1494) drain_pages_zone (include/linux/spinlock.h:391 mm/page_alloc.c:2632) __drain_all_pages (mm/page_alloc.c:2731) drain_all_pages (mm/page_alloc.c:2747) kcompactd (mm/compaction.c:3115) kthread (kernel/kthread.c:465) ? __cfi_kcompactd (mm/compaction.c:3166) ? __cfi_kthread (kernel/kthread.c:412) ret_from_fork (arch/x86/kernel/process.c:164) ? __cfi_kthread (kernel/kthread.c:412) ret_from_fork_asm (arch/x86/entry/entry_64.S:255) </TASK> Matthew has analyzed the report and identified that in drain_page_zone() we are in a section protected by spin_lock(&pcp->lock) and then get an interrupt that attempts spin_trylock() on the same lock. The code is designed to work this way without disabling IRQs and occasionally fail the trylock with a fallback. However, the SMP=n spinlock implementation assumes spin_trylock() will always succeed, and thus it's normally a no-op. Here the enabled lock debugging catches the problem, but otherwise it could cause a corruption of the pcp structure. The problem has been introduced by commit 574907741599 ("mm/page_alloc: leave IRQs enabled for per-cpu page allocations"). The pcp locking scheme recognizes the need for disabling IRQs to prevent nesting spin_trylock() sections on SMP=n, but the need to prevent the nesting in spin_lock() has not been recognized. Fix it by introducing local wrappers that change the spin_lock() to spin_lock_iqsave() with SMP=n and use them in all places that do spin_lock(&pcp->lock). [vbabka@suse.cz: add pcp_ prefix to the spin_lock_irqsave wrappers, per Steven] Уязвимость компонента mm/page_alloc.c ядра операционной системы Linux связана с состоянием гонки, связанным с переключением контекста. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: qcom: gpi: Fix memory leak in gpi_peripheral_config() Fix a memory leak in gpi_peripheral_config() where the original memory pointed to by gchan->config could be lost if krealloc() fails. The issue occurs when: 1. gchan->config points to previously allocated memory 2. krealloc() fails and returns NULL 3. The function directly assigns NULL to gchan->config, losing the reference to the original memory 4. The original memory becomes unreachable and cannot be freed Fix this by using a temporary variable to hold the krealloc() result and only updating gchan->config when the allocation succeeds. Found via static analysis and code review. Уязвимость компонента dma/qcom/gpi.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phy: rockchip: inno-usb2: Fix a double free bug in rockchip_usb2phy_probe() The for_each_available_child_of_node() calls of_node_put() to release child_np in each success loop. After breaking from the loop with the child_np has been released, the code will jump to the put_child label and will call the of_node_put() again if the devm_request_threaded_irq() fails. These cause a double free bug. Fix by returning directly to avoid the duplicate of_node_put(). Уязвимость функции rockchip_usb2phy_probe() модуля drivers/phy/rockchip/phy-rockchip-inno-usb2.c драйвера PHY ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak In gs_can_open(), the URBs for USB-in transfers are allocated, added to the parent->rx_submitted anchor and submitted. In the complete callback gs_usb_receive_bulk_callback(), the URB is processed and resubmitted. In gs_can_close() the URBs are freed by calling usb_kill_anchored_urbs(parent->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in gs_can_close(). Fix the memory leak by anchoring the URB in the gs_usb_receive_bulk_callback() to the parent->rx_submitted anchor. Уязвимость функции gs_usb_receive_bulk_callback() модуля drivers/net/can/usb/gs_usb.c драйвера сетевых устройств CAN ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: omap-dma: fix dma_pool resource leak in error paths The dma_pool created by dma_pool_create() is not destroyed when dma_async_device_register() or of_dma_controller_register() fails, causing a resource leak in the probe error paths. Add dma_pool_destroy() in both error paths to properly release the allocated dma_pool resource. Уязвимость функции omap_dma_probe() модуля drivers/dma/ti/omap-dma.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: etas_es58x: allow partial RX URB allocation to succeed When es58x_alloc_rx_urbs() fails to allocate the requested number of URBs but succeeds in allocating some, it returns an error code. This causes es58x_open() to return early, skipping the cleanup label 'free_urbs', which leads to the anchored URBs being leaked. As pointed out by maintainer Vincent Mailhol, the driver is designed to handle partial URB allocation gracefully. Therefore, partial allocation should not be treated as a fatal error. Modify es58x_alloc_rx_urbs() to return 0 if at least one URB has been allocated, restoring the intended behavior and preventing the leak in es58x_open(). Уязвимость функции es58x_alloc_rx_urbs() модуля drivers/net/can/usb/etas_es58x/es58x_core.c драйвера сетевых устройств CAN ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pnfs/flexfiles: Fix memory leak in nfs4_ff_alloc_deviceid_node() In nfs4_ff_alloc_deviceid_node(), if the allocation for ds_versions fails, the function jumps to the out_scratch label without freeing the already allocated dsaddrs list, leading to a memory leak. Fix this by jumping to the out_err_drain_dsaddrs label, which properly frees the dsaddrs list before cleaning up other resources. Уязвимость компонентаfs/nfs/flexfilelayout/flexfilelayoutdev.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: make calc_target() set t->paused, not just clear it Currently calc_target() clears t->paused if the request shouldn't be paused anymore, but doesn't ever set t->paused even though it's able to determine when the request should be paused. Setting t->paused is left to __submit_request() which is fine for regular requests but doesn't work for linger requests -- since __submit_request() doesn't operate on linger requests, there is nowhere for lreq->t.paused to be set. One consequence of this is that watches don't get reestablished on paused -> unpaused transitions in cases where requests have been paused long enough for the (paused) unwatch request to time out and for the subsequent (re)watch request to enter the paused state. On top of the watch not getting reestablished, rbd_reregister_watch() gets stuck with rbd_dev->watch_mutex held: rbd_register_watch __rbd_register_watch ceph_osdc_watch linger_reg_commit_wait It's waiting for lreq->reg_commit_wait to be completed, but for that to happen the respective request needs to end up on need_resend_linger list and be kicked when requests are unpaused. There is no chance for that if the request in question is never marked paused in the first place. The fact that rbd_dev->watch_mutex remains taken out forever then prevents the image from getting unmapped -- "rbd unmap" would inevitably hang in D state on an attempt to grab the mutex. Уязвимость компонента ceph/osd_client.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/panel-simple: fix connector type for DataImage SCF0700C48GGU18 panel The connector type for the DataImage SCF0700C48GGU18 panel is missing and devm_drm_panel_bridge_add() requires connector type to be set. This leads to a warning and a backtrace in the kernel log and panel does not work: " WARNING: CPU: 3 PID: 38 at drivers/gpu/drm/bridge/panel.c:379 devm_drm_of_get_bridge+0xac/0xb8 " The warning is triggered by a check for valid connector type in devm_drm_panel_bridge_add(). If there is no valid connector type set for a panel, the warning is printed and panel is not added. Fill in the missing connector type to fix the warning and make the panel operational once again. Уязвимость компонента drm/panel/panel-simple.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hv_netvsc: reject RSS hash key programming without RX indirection table RSS configuration requires a valid RX indirection table. When the device reports a single receive queue, rndis_filter_device_add() does not allocate an indirection table, accepting RSS hash key updates in this state leads to a hang. Fix this by gating netvsc_set_rxfh() on ndc->rx_table_sz and return -EOPNOTSUPP when the table is absent. This aligns set_rxfh with the device capabilities and prevents incorrect behavior. Уязвимость компонента hyperv/netvsc_drv.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uacce: implement mremap in uacce_vm_ops to return -EPERM The current uacce_vm_ops does not support the mremap operation of vm_operations_struct. Implement .mremap to return -EPERM to remind users. The reason we need to explicitly disable mremap is that when the driver does not implement .mremap, it uses the default mremap method. This could lead to a risk scenario: An application might first mmap address p1, then mremap to p2, followed by munmap(p1), and finally munmap(p2). Since the default mremap copies the original vma's vm_private_data (i.e., q) to the new vma, both munmap operations would trigger vma_close, causing q->qfr to be freed twice(qfr will be set to null here, so repeated release is ok). Уязвимость компонента misc/uacce/uacce.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: ems_usb: ems_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In ems_usb_open(), the URBs for USB-in transfers are allocated, added to the dev->rx_submitted anchor and submitted. In the complete callback ems_usb_read_bulk_callback(), the URBs are processed and resubmitted. In ems_usb_close() the URBs are freed by calling usb_kill_anchored_urbs(&dev->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in ems_usb_close(). Fix the memory leak by anchoring the URB in the ems_usb_read_bulk_callback() to the dev->rx_submitted anchor. Уязвимость компонента can/usb/ems_usb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: authencesn - reject too-short AAD (assoclen<8) to match ESP/ESN spec authencesn assumes an ESP/ESN-formatted AAD. When assoclen is shorter than the minimum expected length, crypto_authenc_esn_decrypt() can advance past the end of the destination scatterlist and trigger a NULL pointer dereference in scatterwalk_map_and_copy(), leading to a kernel panic (DoS). Add a minimum AAD length check to fail fast on invalid inputs. Уязвимость компонента authenc ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля authenc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль authenc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep authenc ``` или ``` kmod list | grep authenc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod authenc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install authenc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: kvaser_usb: kvaser_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In kvaser_usb_set_{,data_}bittiming() -> kvaser_usb_setup_rx_urbs(), the URBs for USB-in transfers are allocated, added to the dev->rx_submitted anchor and submitted. In the complete callback kvaser_usb_read_bulk_callback(), the URBs are processed and resubmitted. In kvaser_usb_remove_interfaces() the URBs are freed by calling usb_kill_anchored_urbs(&dev->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in usb_kill_anchored_urbs(). Fix the memory leak by anchoring the URB in the kvaser_usb_read_bulk_callback() to the dev->rx_submitted anchor. Уязвимость компонента can/usb/kvaser_usb/kvaser_usb_core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uacce: ensure safe queue release with state management Directly calling `put_queue` carries risks since it cannot guarantee that resources of `uacce_queue` have been fully released beforehand. So adding a `stop_queue` operation for the UACCE_CMD_PUT_Q command and leaving the `put_queue` operation to the final resource release ensures safety. Queue states are defined as follows: - UACCE_Q_ZOMBIE: Initial state - UACCE_Q_INIT: After opening `uacce` - UACCE_Q_STARTED: After `start` is issued via `ioctl` When executing `poweroff -f` in virt while accelerator are still working, `uacce_fops_release` and `uacce_remove` may execute concurrently. This can cause `uacce_put_queue` within `uacce_fops_release` to access a NULL `ops` pointer. Therefore, add state checks to prevent accessing freed pointers. Уязвимость компонента misc/uacce/uacce.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_ife: avoid possible NULL deref tcf_ife_encode() must make sure ife_encode() does not return NULL. syzbot reported: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] RIP: 0010:ife_tlv_meta_encode+0x41/0xa0 net/ife/ife.c:166 CPU: 3 UID: 0 PID: 8990 Comm: syz.0.696 Not tainted syzkaller #0 PREEMPT(full) Call Trace: <TASK> ife_encode_meta_u32+0x153/0x180 net/sched/act_ife.c:101 tcf_ife_encode net/sched/act_ife.c:841 [inline] tcf_ife_act+0x1022/0x1de0 net/sched/act_ife.c:877 tc_act include/net/tc_wrapper.h:130 [inline] tcf_action_exec+0x1c0/0xa20 net/sched/act_api.c:1152 tcf_exts_exec include/net/pkt_cls.h:349 [inline] mall_classify+0x1a0/0x2a0 net/sched/cls_matchall.c:42 tc_classify include/net/tc_wrapper.h:197 [inline] __tcf_classify net/sched/cls_api.c:1764 [inline] tcf_classify+0x7f2/0x1380 net/sched/cls_api.c:1860 multiq_classify net/sched/sch_multiq.c:39 [inline] multiq_enqueue+0xe0/0x510 net/sched/sch_multiq.c:66 dev_qdisc_enqueue+0x45/0x250 net/core/dev.c:4147 __dev_xmit_skb net/core/dev.c:4262 [inline] __dev_queue_xmit+0x2998/0x46c0 net/core/dev.c:4798 Уязвимость компонента sched/act_ife.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: spi-sprd-adi: Fix double free in probe error path The driver currently uses spi_alloc_host() to allocate the controller but registers it using devm_spi_register_controller(). If devm_register_restart_handler() fails, the code jumps to the put_ctlr label and calls spi_controller_put(). However, since the controller was registered via a devm function, the device core will automatically call spi_controller_put() again when the probe fails. This results in a double-free of the spi_controller structure. Fix this by switching to devm_spi_alloc_host() and removing the manual spi_controller_put() call. Уязвимость компонента spi/spi-sprd-adi.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: fix potential underflow in virtio_transport_get_credit() The credit calculation in virtio_transport_get_credit() uses unsigned arithmetic: ret = vvs->peer_buf_alloc - (vvs->tx_cnt - vvs->peer_fwd_cnt); If the peer shrinks its advertised buffer (peer_buf_alloc) while bytes are in flight, the subtraction can underflow and produce a large positive value, potentially allowing more data to be queued than the peer can handle. Reuse virtio_transport_has_space() which already handles this case and add a comment to make it clear why we are doing that. [Stefano: use virtio_transport_has_space() instead of duplicating the code] [Stefano: tweak the commit message] Уязвимость компонента vmw_vsock/virtio_transport_common.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regmap: Fix race condition in hwspinlock irqsave routine Previously, the address of the shared member '&map->spinlock_flags' was passed directly to 'hwspin_lock_timeout_irqsave'. This creates a race condition where multiple contexts contending for the lock could overwrite the shared flags variable, potentially corrupting the state for the current lock owner. Fix this by using a local stack variable 'flags' to store the IRQ state temporarily. Уязвимость компонента base/regmap/regmap.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rsi: Fix memory corruption due to not set vif driver data size The struct ieee80211_vif contains trailing space for vif driver data, when struct ieee80211_vif is allocated, the total memory size that is allocated is sizeof(struct ieee80211_vif) + size of vif driver data. The size of vif driver data is set by each WiFi driver as needed. The RSI911x driver does not set vif driver data size, no trailing space for vif driver data is therefore allocated past struct ieee80211_vif . The RSI911x driver does however use the vif driver data to store its vif driver data structure "struct vif_priv". An access to vif->drv_priv leads to access out of struct ieee80211_vif bounds and corruption of some memory. In case of the failure observed locally, rsi_mac80211_add_interface() would write struct vif_priv *vif_info = (struct vif_priv *)vif->drv_priv; vif_info->vap_id = vap_idx. This write corrupts struct fq_tin member struct list_head new_flows . The flow = list_first_entry(head, struct fq_flow, flowchain); in fq_tin_reset() then reports non-NULL bogus address, which when accessed causes a crash. The trigger is very simple, boot the machine with init=/bin/sh , mount devtmpfs, sysfs, procfs, and then do "ip link set wlan0 up", "sleep 1", "ip link set wlan0 down" and the crash occurs. Fix this by setting the correct size of vif driver data, which is the size of "struct vif_priv", so that memory is allocated and the driver can store its driver data in it, instead of corrupting memory around it. Уязвимость компонента wireless/rsi/rsi_91x_mac80211.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: Enforce that teql can only be used as root qdisc Design intent of teql is that it is only supposed to be used as root qdisc. We need to check for that constraint. Although not important, I will describe the scenario that unearthed this issue for the curious. GangMin Kim <km.kim1503@gmail.com> managed to concot a scenario as follows: ROOT qdisc 1:0 (QFQ) ├── class 1:1 (weight=15, lmax=16384) netem with delay 6.4s └── class 1:2 (weight=1, lmax=1514) teql GangMin sends a packet which is enqueued to 1:1 (netem). Any invocation of dequeue by QFQ from this class will not return a packet until after 6.4s. In the meantime, a second packet is sent and it lands on 1:2. teql's enqueue will return success and this will activate class 1:2. Main issue is that teql only updates the parent visible qlen (sch->q.qlen) at dequeue. Since QFQ will only call dequeue if peek succeeds (and teql's peek always returns NULL), dequeue will never be called and thus the qlen will remain as 0. With that in mind, when GangMin updates 1:2's lmax value, the qfq_change_class calls qfq_deact_rm_from_agg. Since the child qdisc's qlen was not incremented, qfq fails to deactivate the class, but still frees its pointers from the aggregate. So when the first packet is rescheduled after 6.4 seconds (netem's delay), a dangling pointer is accessed causing GangMin's causing a UAF. Уязвимость компонента sch_teql ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_teql.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_teql в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_teql ``` или ``` kmod list | grep sch_teql ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_teql ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_teql /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: esd_usb: esd_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In esd_usb_open(), the URBs for USB-in transfers are allocated, added to the dev->rx_submitted anchor and submitted. In the complete callback esd_usb_read_bulk_callback(), the URBs are processed and resubmitted. In esd_usb_close() the URBs are freed by calling usb_kill_anchored_urbs(&dev->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in esd_usb_close(). Fix the memory leak by anchoring the URB in the esd_usb_read_bulk_callback() to the dev->rx_submitted anchor. Уязвимость компонента can/usb/esd_usb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: ctxfi: Fix potential OOB access in audio mixer handling In the audio mixer handling code of ctxfi driver, the conf field is used as a kind of loop index, and it's referred in the index callbacks (amixer_index() and sum_index()). As spotted recently by fuzzers, the current code causes OOB access at those functions. | UBSAN: array-index-out-of-bounds in /build/reproducible-path/linux-6.17.8/sound/pci/ctxfi/ctamixer.c:347:48 | index 8 is out of range for type 'unsigned char [8]' After the analysis, the cause was found to be the lack of the proper (re-)initialization of conj field. This patch addresses those OOB accesses by adding the proper initializations of the loop indices. Уязвимость компонента pci/ctxfi/ctamixer.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: scarlett2: Fix buffer overflow in config retrieval The scarlett2_usb_get_config() function has a logic error in the endianness conversion code that can cause buffer overflows when count > 1. The code checks `if (size == 2)` where `size` is the total buffer size in bytes, then loops `count` times treating each element as u16 (2 bytes). This causes the loop to access `count * 2` bytes when the buffer only has `size` bytes allocated. Fix by checking the element size (config_item->size) instead of the total buffer size. This ensures the endianness conversion matches the actual element type. Уязвимость компонента usb/mixer_scarlett2.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: mcba_usb: mcba_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In mcba_usb_probe() -> mcba_usb_start(), the URBs for USB-in transfers are allocated, added to the priv->rx_submitted anchor and submitted. In the complete callback mcba_usb_read_bulk_callback(), the URBs are processed and resubmitted. In mcba_usb_close() -> mcba_urb_unlink() the URBs are freed by calling usb_kill_anchored_urbs(&priv->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in usb_kill_anchored_urbs(). Fix the memory leak by anchoring the URB in the mcba_usb_read_bulk_callback()to the priv->rx_submitted anchor. Уязвимость компонента can/usb/mcba_usb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fou: Don't allow 0 for FOU_ATTR_IPPROTO. fou_udp_recv() has the same problem mentioned in the previous patch. If FOU_ATTR_IPPROTO is set to 0, skb is not freed by fou_udp_recv() nor "resubmit"-ted in ip_protocol_deliver_rcu(). Let's forbid 0 for FOU_ATTR_IPPROTO. Уязвимость компонента ipv4/fou_nl.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: be2net: Fix NULL pointer dereference in be_cmd_get_mac_from_list When the parameter pmac_id_valid argument of be_cmd_get_mac_from_list() is set to false, the driver may request the PMAC_ID from the firmware of the network card, and this function will store that PMAC_ID at the provided address pmac_id. This is the contract of this function. However, there is a location within the driver where both pmac_id_valid == false and pmac_id == NULL are being passed. This could result in dereferencing a NULL pointer. To resolve this issue, it is necessary to pass the address of a stub variable to the function. Уязвимость компонента ethernet/emulex/benet/be_cmds.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/gic-v3-its: Avoid truncating memory addresses On 32-bit machines with CONFIG_ARM_LPAE, it is possible for lowmem allocations to be backed by addresses physical memory above the 32-bit address limit, as found while experimenting with larger VMSPLIT configurations. This caused the qemu virt model to crash in the GICv3 driver, which allocates the 'itt' object using GFP_KERNEL. Since all memory below the 4GB physical address limit is in ZONE_DMA in this configuration, kmalloc() defaults to higher addresses for ZONE_NORMAL, and the ITS driver stores the physical address in a 32-bit 'unsigned long' variable. Change the itt_addr variable to the correct phys_addr_t type instead, along with all other variables in this driver that hold a physical address. The gicv5 driver correctly uses u64 variables, while all other irqchip drivers don't call virt_to_phys or similar interfaces. It's expected that other device drivers have similar issues, but fixing this one is sufficient for booting a virtio based guest. Уязвимость компонента irqchip/irq-gic-v3-its.c ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: cap TX credit to local buffer size The virtio transports derives its TX credit directly from peer_buf_alloc, which is set from the remote endpoint's SO_VM_SOCKETS_BUFFER_SIZE value. On the host side this means that the amount of data we are willing to queue for a connection is scaled by a guest-chosen buffer size, rather than the host's own vsock configuration. A malicious guest can advertise a large buffer and read slowly, causing the host to allocate a correspondingly large amount of sk_buff memory. The same thing would happen in the guest with a malicious host, since virtio transports share the same code base. Introduce a small helper, virtio_transport_tx_buf_size(), that returns min(peer_buf_alloc, buf_alloc), and use it wherever we consume peer_buf_alloc. This ensures the effective TX window is bounded by both the peer's advertised buffer and our own buf_alloc (already clamped to buffer_max_size via SO_VM_SOCKETS_BUFFER_MAX_SIZE), so a remote peer cannot force the other to queue more data than allowed by its own vsock settings. On an unpatched Ubuntu 22.04 host (~64 GiB RAM), running a PoC with 32 guest vsock connections advertising 2 GiB each and reading slowly drove Slab/SUnreclaim from ~0.5 GiB to ~57 GiB; the system only recovered after killing the QEMU process. That said, if QEMU memory is limited with cgroups, the maximum memory used will be limited. With this patch applied: Before: MemFree: ~61.6 GiB Slab: ~142 MiB SUnreclaim: ~117 MiB After 32 high-credit connections: MemFree: ~61.5 GiB Slab: ~178 MiB SUnreclaim: ~152 MiB Only ~35 MiB increase in Slab/SUnreclaim, no host OOM, and the guest remains responsive. Compatibility with non-virtio transports: - VMCI uses the AF_VSOCK buffer knobs to size its queue pairs per socket based on the local vsk->buffer_* values; the remote side cannot enlarge those queues beyond what the local endpoint configured. - Hyper-V's vsock transport uses fixed-size VMBus ring buffers and an MTU bound; there is no peer-controlled credit field comparable to peer_buf_alloc, and the remote endpoint cannot drive in-flight kernel memory above those ring sizes. - The loopback path reuses virtio_transport_common.c, so it naturally follows the same semantics as the virtio transport. This change is limited to virtio_transport_common.c and thus affects virtio-vsock, vhost-vsock, and loopback, bringing them in line with the "remote window intersected with local policy" behaviour that VMCI and Hyper-V already effectively have. [Stefano: small adjustments after changing the previous patch] [Stefano: tweak the commit message] Уязвимость компонента vmw_vsock/virtio_transport_common.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: xen: scsiback: Fix potential memory leak in scsiback_remove() Memory allocated for struct vscsiblk_info in scsiback_probe() is not freed in scsiback_remove() leading to potential memory leaks on remove, as well as in the scsiback_probe() error paths. Fix that by freeing it in scsiback_remove(). Уязвимость компонента xen/xen-scsiback.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix use-after-free in snd_usb_mixer_free() When snd_usb_create_mixer() fails, snd_usb_mixer_free() frees mixer->id_elems but the controls already added to the card still reference the freed memory. Later when snd_card_register() runs, the OSS mixer layer calls their callbacks and hits a use-after-free read. Call trace: get_ctl_value+0x63f/0x820 sound/usb/mixer.c:411 get_min_max_with_quirks.isra.0+0x240/0x1f40 sound/usb/mixer.c:1241 mixer_ctl_feature_info+0x26b/0x490 sound/usb/mixer.c:1381 snd_mixer_oss_build_test+0x174/0x3a0 sound/core/oss/mixer_oss.c:887 ... snd_card_register+0x4ed/0x6d0 sound/core/init.c:923 usb_audio_probe+0x5ef/0x2a90 sound/usb/card.c:1025 Fix by calling snd_ctl_remove() for all mixer controls before freeing id_elems. We save the next pointer first because snd_ctl_remove() frees the current element. Уязвимость компонента usb/mixer.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: slimbus: core: fix device reference leak on report present Slimbus devices can be allocated dynamically upon reception of report-present messages. Make sure to drop the reference taken when looking up already registered devices. Note that this requires taking an extra reference in case the device has not yet been registered and has to be allocated. Уязвимость компонента slimbus/core.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: intel_th: fix device leak on output open() Make sure to drop the reference taken when looking up the th device during output device open() on errors and on close(). Note that a recent commit fixed the leak in a couple of open() error paths but not all of them, and the reference is still leaking on successful open(). Уязвимость компонента hwtracing/intel_th/core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: smbd: fix dma_unmap_sg() nents The dma_unmap_sg() functions should be called with the same nents as the dma_map_sg(), not the value the map function returned. Уязвимость компонента ksmbd ядра операционной системы Linux связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gue: Fix skb memleak with inner IP protocol 0. syzbot reported skb memleak below. [0] The repro generated a GUE packet with its inner protocol 0. gue_udp_recv() returns -guehdr->proto_ctype for "resubmit" in ip_protocol_deliver_rcu(), but this only works with non-zero protocol number. Let's drop such packets. Note that 0 is a valid number (IPv6 Hop-by-Hop Option). I think it is not practical to encap HOPOPT in GUE, so once someone starts to complain, we could pass down a resubmit flag pointer to distinguish two zeros from the upper layer: * no error * resubmit HOPOPT [0] BUG: memory leak unreferenced object 0xffff888109695a00 (size 240): comm "syz.0.17", pid 6088, jiffies 4294943096 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 40 c2 10 81 88 ff ff 00 00 00 00 00 00 00 00 .@.............. backtrace (crc a84b336f): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4958 [inline] slab_alloc_node mm/slub.c:5263 [inline] kmem_cache_alloc_noprof+0x3b4/0x590 mm/slub.c:5270 __build_skb+0x23/0x60 net/core/skbuff.c:474 build_skb+0x20/0x190 net/core/skbuff.c:490 __tun_build_skb drivers/net/tun.c:1541 [inline] tun_build_skb+0x4a1/0xa40 drivers/net/tun.c:1636 tun_get_user+0xc12/0x2030 drivers/net/tun.c:1770 tun_chr_write_iter+0x71/0x120 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x45d/0x710 fs/read_write.c:686 ksys_write+0xa7/0x170 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента ipv4/fou_core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uacce: fix cdev handling in the cleanup path When cdev_device_add fails, it internally releases the cdev memory, and if cdev_device_del is then executed, it will cause a hang error. To fix it, we check the return value of cdev_device_add() and clear uacce->cdev to avoid calling cdev_device_del in the uacce_remove. Уязвимость компонента misc/uacce/uacce.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: migrate: correct lock ordering for hugetlb file folios Syzbot has found a deadlock (analyzed by Lance Yang): 1) Task (5749): Holds folio_lock, then tries to acquire i_mmap_rwsem(read lock). 2) Task (5754): Holds i_mmap_rwsem(write lock), then tries to acquire folio_lock. migrate_pages() -> migrate_hugetlbs() -> unmap_and_move_huge_page() <- Takes folio_lock! -> remove_migration_ptes() -> __rmap_walk_file() -> i_mmap_lock_read() <- Waits for i_mmap_rwsem(read lock)! hugetlbfs_fallocate() -> hugetlbfs_punch_hole() <- Takes i_mmap_rwsem(write lock)! -> hugetlbfs_zero_partial_page() -> filemap_lock_hugetlb_folio() -> filemap_lock_folio() -> __filemap_get_folio <- Waits for folio_lock! The migration path is the one taking locks in the wrong order according to the documentation at the top of mm/rmap.c. So expand the scope of the existing i_mmap_lock to cover the calls to remove_migration_ptes() too. This is (mostly) how it used to be after commit c0d0381ade79. That was removed by 336bf30eb765 for both file & anon hugetlb pages when it should only have been removed for anon hugetlb pages. Уязвимость компонента mm/migrate.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netrom: fix double-free in nr_route_frame() In nr_route_frame(), old_skb is immediately freed without checking if nr_neigh->ax25 pointer is NULL. Therefore, if nr_neigh->ax25 is NULL, the caller function will free old_skb again, causing a double-free bug. Therefore, to prevent this, we need to modify it to check whether nr_neigh->ax25 is NULL before freeing old_skb. Уязвимость компонента netrom/nr_route.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: limit BOND_MODE_8023AD to Ethernet devices BOND_MODE_8023AD makes sense for ARPHRD_ETHER only. syzbot reported: BUG: KASAN: global-out-of-bounds in __hw_addr_create net/core/dev_addr_lists.c:63 [inline] BUG: KASAN: global-out-of-bounds in __hw_addr_add_ex+0x25d/0x760 net/core/dev_addr_lists.c:118 Read of size 16 at addr ffffffff8bf94040 by task syz.1.3580/19497 CPU: 1 UID: 0 PID: 19497 Comm: syz.1.3580 Tainted: G L syzkaller #0 PREEMPT(full) Tainted: [L]=SOFTLOCKUP Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Call Trace: <TASK> dump_stack_lvl+0xe8/0x150 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 check_region_inline mm/kasan/generic.c:-1 [inline] kasan_check_range+0x2b0/0x2c0 mm/kasan/generic.c:200 __asan_memcpy+0x29/0x70 mm/kasan/shadow.c:105 __hw_addr_create net/core/dev_addr_lists.c:63 [inline] __hw_addr_add_ex+0x25d/0x760 net/core/dev_addr_lists.c:118 __dev_mc_add net/core/dev_addr_lists.c:868 [inline] dev_mc_add+0xa1/0x120 net/core/dev_addr_lists.c:886 bond_enslave+0x2b8b/0x3ac0 drivers/net/bonding/bond_main.c:2180 do_set_master+0x533/0x6d0 net/core/rtnetlink.c:2963 do_setlink+0xcf0/0x41c0 net/core/rtnetlink.c:3165 rtnl_changelink net/core/rtnetlink.c:3776 [inline] __rtnl_newlink net/core/rtnetlink.c:3935 [inline] rtnl_newlink+0x161c/0x1c90 net/core/rtnetlink.c:4072 rtnetlink_rcv_msg+0x7cf/0xb70 net/core/rtnetlink.c:6958 netlink_rcv_skb+0x208/0x470 net/netlink/af_netlink.c:2550 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [inline] netlink_unicast+0x82f/0x9e0 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x805/0xb30 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg+0x21c/0x270 net/socket.c:742 ____sys_sendmsg+0x505/0x820 net/socket.c:2592 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2646 __sys_sendmsg+0x164/0x220 net/socket.c:2678 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0x1dc/0x560 arch/x86/entry/syscall_32.c:307 do_fast_syscall_32+0x34/0x80 arch/x86/entry/syscall_32.c:332 entry_SYSENTER_compat_after_hwframe+0x84/0x8e </TASK> The buggy address belongs to the variable: lacpdu_mcast_addr+0x0/0x40 Уязвимость компонента drivers/net/bonding/bond_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: leds: led-class: Only Add LED to leds_list when it is fully ready Before this change the LED was added to leds_list before led_init_core() gets called adding it the list before led_classdev.set_brightness_work gets initialized. This leaves a window where led_trigger_register() of a LED's default trigger will call led_trigger_set() which calls led_set_brightness() which in turn will end up queueing the *uninitialized* led_classdev.set_brightness_work. This race gets hit by the lenovo-thinkpad-t14s EC driver which registers 2 LEDs with a default trigger provided by snd_ctl_led.ko in quick succession. The first led_classdev_register() causes an async modprobe of snd_ctl_led to run and that async modprobe manages to exactly hit the window where the second LED is on the leds_list without led_init_core() being called for it, resulting in: ------------[ cut here ]------------ WARNING: CPU: 11 PID: 5608 at kernel/workqueue.c:4234 __flush_work+0x344/0x390 Hardware name: LENOVO 21N2S01F0B/21N2S01F0B, BIOS N42ET93W (2.23 ) 09/01/2025 ... Call trace: __flush_work+0x344/0x390 (P) flush_work+0x2c/0x50 led_trigger_set+0x1c8/0x340 led_trigger_register+0x17c/0x1c0 led_trigger_register_simple+0x84/0xe8 snd_ctl_led_init+0x40/0xf88 [snd_ctl_led] do_one_initcall+0x5c/0x318 do_init_module+0x9c/0x2b8 load_module+0x7e0/0x998 Close the race window by moving the adding of the LED to leds_list to after the led_init_core() call. Уязвимость компонента drivers/leds/led-class.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvlan: Make the addrs_lock be per port Make the addrs_lock be per port, not per ipvlan dev. Initial code seems to be written in the assumption, that any address change must occur under RTNL. But it is not so for the case of IPv6. So 1) Introduce per-port addrs_lock. 2) It was needed to fix places where it was forgotten to take lock (ipvlan_open/ipvlan_close) This appears to be a very minor problem though. Since it's highly unlikely that ipvlan_add_addr() will be called on 2 CPU simultaneously. But nevertheless, this could cause: 1) False-negative of ipvlan_addr_busy(): one interface iterated through all port->ipvlans + ipvlan->addrs under some ipvlan spinlock, and another added IP under its own lock. Though this is only possible for IPv6, since looks like only ipvlan_addr6_event() can be called without rtnl_lock. 2) Race since ipvlan_ht_addr_add(port) is called under different ipvlan->addrs_lock locks This should not affect performance, since add/remove IP is a rare situation and spinlock is not taken on fast paths. Уязвимость компонентов ipvlan ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: qfq: Use cl_is_active to determine whether class is active in qfq_rm_from_ag This is more of a preventive patch to make the code more consistent and to prevent possible exploits that employ child qlen manipulations on qfq. use cl_is_active instead of relying on the child qdisc's qlen to determine class activation. Уязвимость компонента net/sched/sch_qfq.c ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: signal: Allocate SSVE storage when restoring ZA The code to restore a ZA context doesn't attempt to allocate the task's sve_state before setting TIF_SME. Consequently, restoring a ZA context can place a task into an invalid state where TIF_SME is set but the task's sve_state is NULL. In legitimate but uncommon cases where the ZA signal context was NOT created by the kernel in the context of the same task (e.g. if the task is saved/restored with something like CRIU), we have no guarantee that sve_state had been allocated previously. In these cases, userspace can enter streaming mode without trapping while sve_state is NULL, causing a later NULL pointer dereference when the kernel attempts to store the register state: | # ./sigreturn-za | Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 | Mem abort info: | ESR = 0x0000000096000046 | EC = 0x25: DABT (current EL), IL = 32 bits | SET = 0, FnV = 0 | EA = 0, S1PTW = 0 | FSC = 0x06: level 2 translation fault | Data abort info: | ISV = 0, ISS = 0x00000046, ISS2 = 0x00000000 | CM = 0, WnR = 1, TnD = 0, TagAccess = 0 | GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 | user pgtable: 4k pages, 52-bit VAs, pgdp=0000000101f47c00 | [0000000000000000] pgd=08000001021d8403, p4d=0800000102274403, pud=0800000102275403, pmd=0000000000000000 | Internal error: Oops: 0000000096000046 [#1] SMP | Modules linked in: | CPU: 0 UID: 0 PID: 153 Comm: sigreturn-za Not tainted 6.19.0-rc1 #1 PREEMPT | Hardware name: linux,dummy-virt (DT) | pstate: 214000c9 (nzCv daIF +PAN -UAO -TCO +DIT -SSBS BTYPE=--) | pc : sve_save_state+0x4/0xf0 | lr : fpsimd_save_user_state+0xb0/0x1c0 | sp : ffff80008070bcc0 | x29: ffff80008070bcc0 x28: fff00000c1ca4c40 x27: 63cfa172fb5cf658 | x26: fff00000c1ca5228 x25: 0000000000000000 x24: 0000000000000000 | x23: 0000000000000000 x22: fff00000c1ca4c40 x21: fff00000c1ca4c40 | x20: 0000000000000020 x19: fff00000ff6900f0 x18: 0000000000000000 | x17: fff05e8e0311f000 x16: 0000000000000000 x15: 028fca8f3bdaf21c | x14: 0000000000000212 x13: fff00000c0209f10 x12: 0000000000000020 | x11: 0000000000200b20 x10: 0000000000000000 x9 : fff00000ff69dcc0 | x8 : 00000000000003f2 x7 : 0000000000000001 x6 : fff00000c1ca5b48 | x5 : fff05e8e0311f000 x4 : 0000000008000000 x3 : 0000000000000000 | x2 : 0000000000000001 x1 : fff00000c1ca5970 x0 : 0000000000000440 | Call trace: | sve_save_state+0x4/0xf0 (P) | fpsimd_thread_switch+0x48/0x198 | __switch_to+0x20/0x1c0 | __schedule+0x36c/0xce0 | schedule+0x34/0x11c | exit_to_user_mode_loop+0x124/0x188 | el0_interrupt+0xc8/0xd8 | __el0_irq_handler_common+0x18/0x24 | el0t_64_irq_handler+0x10/0x1c | el0t_64_irq+0x198/0x19c | Code: 54000040 d51b4408 d65f03c0 d503245f (e5bb5800) | ---[ end trace 0000000000000000 ]--- Fix this by having restore_za_context() ensure that the task's sve_state is allocated, matching what we do when taking an SME trap. Any live SVE/SSVE state (which is restored earlier from a separate signal context) must be preserved, and hence this is not zeroed. Уязвимость компонента arch/arm64/kernel/signal.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: usb_8dev: usb_8dev_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In usb_8dev_open() -> usb_8dev_start(), the URBs for USB-in transfers are allocated, added to the priv->rx_submitted anchor and submitted. In the complete callback usb_8dev_read_bulk_callback(), the URBs are processed and resubmitted. In usb_8dev_close() -> unlink_all_urbs() the URBs are freed by calling usb_kill_anchored_urbs(&priv->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in usb_kill_anchored_urbs(). Fix the memory leak by anchoring the URB in the usb_8dev_read_bulk_callback() to the priv->rx_submitted anchor. Уязвимость компонента drivers/net/can/usb/usb_8dev.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: core: Wake up the error handler when final completions race against each other The fragile ordering between marking commands completed or failed so that the error handler only wakes when the last running command completes or times out has race conditions. These race conditions can cause the SCSI layer to fail to wake the error handler, leaving I/O through the SCSI host stuck as the error state cannot advance. First, there is an memory ordering issue within scsi_dec_host_busy(). The write which clears SCMD_STATE_INFLIGHT may be reordered with reads counting in scsi_host_busy(). While the local CPU will see its own write, reordering can allow other CPUs in scsi_dec_host_busy() or scsi_eh_inc_host_failed() to see a raised busy count, causing no CPU to see a host busy equal to the host_failed count. This race condition can be prevented with a memory barrier on the error path to force the write to be visible before counting host busy commands. Second, there is a general ordering issue with scsi_eh_inc_host_failed(). By counting busy commands before incrementing host_failed, it can race with a final command in scsi_dec_host_busy(), such that scsi_dec_host_busy() does not see host_failed incremented but scsi_eh_inc_host_failed() counts busy commands before SCMD_STATE_INFLIGHT is cleared by scsi_dec_host_busy(), resulting in neither waking the error handler task. This needs the call to scsi_host_busy() to be moved after host_failed is incremented to close the race condition. Уязвимость компонентов scsic ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: fix inverted genmask check in nft_map_catchall_activate() nft_map_catchall_activate() has an inverted element activity check compared to its non-catchall counterpart nft_mapelem_activate() and compared to what is logically required. nft_map_catchall_activate() is called from the abort path to re-activate catchall map elements that were deactivated during a failed transaction. It should skip elements that are already active (they don't need re-activation) and process elements that are inactive (they need to be restored). Instead, the current code does the opposite: it skips inactive elements and processes active ones. Compare the non-catchall activate callback, which is correct: nft_mapelem_activate(): if (nft_set_elem_active(ext, iter->genmask)) return 0; /* skip active, process inactive */ With the buggy catchall version: nft_map_catchall_activate(): if (!nft_set_elem_active(ext, genmask)) continue; /* skip inactive, process active */ The consequence is that when a DELSET operation is aborted, nft_setelem_data_activate() is never called for the catchall element. For NFT_GOTO verdict elements, this means nft_data_hold() is never called to restore the chain->use reference count. Each abort cycle permanently decrements chain->use. Once chain->use reaches zero, DELCHAIN succeeds and frees the chain while catchall verdict elements still reference it, resulting in a use-after-free. This is exploitable for local privilege escalation from an unprivileged user via user namespaces + nftables on distributions that enable CONFIG_USER_NS and CONFIG_NF_TABLES. Fix by removing the negation so the check matches nft_mapelem_activate(): skip active elements, process inactive ones. Уязвимость функции nft_map_catchall_activate() компонента nf_tables ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-672')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-tcp: add bounds checks in nvmet_tcp_build_pdu_iovec nvmet_tcp_build_pdu_iovec() could walk past cmd->req.sg when a PDU length or offset exceeds sg_cnt and then use bogus sg->length/offset values, leading to _copy_to_iter() GPF/KASAN. Guard sg_idx, remaining entries, and sg->length/offset before building the bvec. Уязвимость компонента drivers/nvme/target/tcp.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-23112 необходимо запретить загрузку модуля nvmet_tcp в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль nvmet_tcp в ядро системы, для этого выполнить одну из команд: `lsmod | grep nvmet_tcp` или `kmod list | grep nvmet_tcp` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля nvmet_tcp: `sudo rmmod nvmet_tcp` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-nvmet_tcp.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install nvmet_tcp /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: imx8m-blk-ctrl: Remove separate rst and clk mask for 8mq vpu For i.MX8MQ platform, the ADB in the VPUMIX domain has no separate reset and clock enable bits, but is ungated and reset together with the VPUs. So we can't reset G1 or G2 separately, it may led to the system hang. Remove rst_mask and clk_mask of imx8mq_vpu_blk_ctl_domain_data. Let imx8mq_vpu_power_notifier() do really vpu reset. Уязвимость компонента drivers/pmdomain/imx/imx8m-blk-ctrl.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: provide a net pointer to __skb_flow_dissect() After 3cbf4ffba5ee ("net: plumb network namespace into __skb_flow_dissect") we have to provide a net pointer to __skb_flow_dissect(), either via skb->dev, skb->sk, or a user provided pointer. In the following case, syzbot was able to cook a bare skb. WARNING: net/core/flow_dissector.c:1131 at __skb_flow_dissect+0xb57/0x68b0 net/core/flow_dissector.c:1131, CPU#1: syz.2.1418/11053 Call Trace: <TASK> bond_flow_dissect drivers/net/bonding/bond_main.c:4093 [inline] __bond_xmit_hash+0x2d7/0xba0 drivers/net/bonding/bond_main.c:4157 bond_xmit_hash_xdp drivers/net/bonding/bond_main.c:4208 [inline] bond_xdp_xmit_3ad_xor_slave_get drivers/net/bonding/bond_main.c:5139 [inline] bond_xdp_get_xmit_slave+0x1fd/0x710 drivers/net/bonding/bond_main.c:5515 xdp_master_redirect+0x13f/0x2c0 net/core/filter.c:4388 bpf_prog_run_xdp include/net/xdp.h:700 [inline] bpf_test_run+0x6b2/0x7d0 net/bpf/test_run.c:421 bpf_prog_test_run_xdp+0x795/0x10e0 net/bpf/test_run.c:1390 bpf_prog_test_run+0x2c7/0x340 kernel/bpf/syscall.c:4703 __sys_bpf+0x562/0x860 kernel/bpf/syscall.c:6182 __do_sys_bpf kernel/bpf/syscall.c:6274 [inline] __se_sys_bpf kernel/bpf/syscall.c:6272 [inline] __x64_sys_bpf+0x7c/0x90 kernel/bpf/syscall.c:6272 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xec/0xf80 arch/x86/entry/syscall_64.c:94 Уязвимость компонента drivers/net/bonding/bond_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: l2tp: avoid one data-race in l2tp_tunnel_del_work() We should read sk->sk_socket only when dealing with kernel sockets. syzbot reported the following data-race: BUG: KCSAN: data-race in l2tp_tunnel_del_work / sk_common_release write to 0xffff88811c182b20 of 8 bytes by task 5365 on cpu 0: sk_set_socket include/net/sock.h:2092 [inline] sock_orphan include/net/sock.h:2118 [inline] sk_common_release+0xae/0x230 net/core/sock.c:4003 udp_lib_close+0x15/0x20 include/net/udp.h:325 inet_release+0xce/0xf0 net/ipv4/af_inet.c:437 __sock_release net/socket.c:662 [inline] sock_close+0x6b/0x150 net/socket.c:1455 __fput+0x29b/0x650 fs/file_table.c:468 ____fput+0x1c/0x30 fs/file_table.c:496 task_work_run+0x131/0x1a0 kernel/task_work.c:233 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] __exit_to_user_mode_loop kernel/entry/common.c:44 [inline] exit_to_user_mode_loop+0x1fe/0x740 kernel/entry/common.c:75 __exit_to_user_mode_prepare include/linux/irq-entry-common.h:226 [inline] syscall_exit_to_user_mode_prepare include/linux/irq-entry-common.h:256 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:159 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:194 [inline] do_syscall_64+0x1e1/0x2b0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f read to 0xffff88811c182b20 of 8 bytes by task 827 on cpu 1: l2tp_tunnel_del_work+0x2f/0x1a0 net/l2tp/l2tp_core.c:1418 process_one_work kernel/workqueue.c:3257 [inline] process_scheduled_works+0x4ce/0x9d0 kernel/workqueue.c:3340 worker_thread+0x582/0x770 kernel/workqueue.c:3421 kthread+0x489/0x510 kernel/kthread.c:463 ret_from_fork+0x149/0x290 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:246 value changed: 0xffff88811b818000 -> 0x0000000000000000 Уязвимость компонента net/l2tp/l2tp_core.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mISDN: annotate data-race around dev->work dev->work can re read locklessly in mISDN_read() and mISDN_poll(). Add READ_ONCE()/WRITE_ONCE() annotations. BUG: KCSAN: data-race in mISDN_ioctl / mISDN_read write to 0xffff88812d848280 of 4 bytes by task 10864 on cpu 1: misdn_add_timer drivers/isdn/mISDN/timerdev.c:175 [inline] mISDN_ioctl+0x2fb/0x550 drivers/isdn/mISDN/timerdev.c:233 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl+0xce/0x140 fs/ioctl.c:583 __x64_sys_ioctl+0x43/0x50 fs/ioctl.c:583 x64_sys_call+0x14b0/0x3000 arch/x86/include/generated/asm/syscalls_64.h:17 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd8/0x2c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f read to 0xffff88812d848280 of 4 bytes by task 10857 on cpu 0: mISDN_read+0x1f2/0x470 drivers/isdn/mISDN/timerdev.c:112 do_loop_readv_writev fs/read_write.c:847 [inline] vfs_readv+0x3fb/0x690 fs/read_write.c:1020 do_readv+0xe7/0x210 fs/read_write.c:1080 __do_sys_readv fs/read_write.c:1165 [inline] __se_sys_readv fs/read_write.c:1162 [inline] __x64_sys_readv+0x45/0x50 fs/read_write.c:1162 x64_sys_call+0x2831/0x3000 arch/x86/include/generated/asm/syscalls_64.h:20 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd8/0x2c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f value changed: 0x00000000 -> 0x00000001 Уязвимость компонента drivers/isdn/mISDN/timerdev.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: annotate data-race in ndisc_router_discovery() syzbot found that ndisc_router_discovery() could read and write in6_dev->ra_mtu without holding a lock [1] This looks fine, IFLA_INET6_RA_MTU is best effort. Add READ_ONCE()/WRITE_ONCE() to document the race. Note that we might also reject illegal MTU values (mtu < IPV6_MIN_MTU || mtu > skb->dev->mtu) in a future patch. [1] BUG: KCSAN: data-race in ndisc_router_discovery / ndisc_router_discovery read to 0xffff888119809c20 of 4 bytes by task 25817 on cpu 1: ndisc_router_discovery+0x151d/0x1c90 net/ipv6/ndisc.c:1558 ndisc_rcv+0x2ad/0x3d0 net/ipv6/ndisc.c:1841 icmpv6_rcv+0xe5a/0x12f0 net/ipv6/icmp.c:989 ip6_protocol_deliver_rcu+0xb2a/0x10d0 net/ipv6/ip6_input.c:438 ip6_input_finish+0xf0/0x1d0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] ip6_input+0x5e/0x140 net/ipv6/ip6_input.c:500 ip6_mc_input+0x27c/0x470 net/ipv6/ip6_input.c:590 dst_input include/net/dst.h:474 [inline] ip6_rcv_finish+0x336/0x340 net/ipv6/ip6_input.c:79 ... write to 0xffff888119809c20 of 4 bytes by task 25816 on cpu 0: ndisc_router_discovery+0x155a/0x1c90 net/ipv6/ndisc.c:1559 ndisc_rcv+0x2ad/0x3d0 net/ipv6/ndisc.c:1841 icmpv6_rcv+0xe5a/0x12f0 net/ipv6/icmp.c:989 ip6_protocol_deliver_rcu+0xb2a/0x10d0 net/ipv6/ip6_input.c:438 ip6_input_finish+0xf0/0x1d0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] ip6_input+0x5e/0x140 net/ipv6/ip6_input.c:500 ip6_mc_input+0x27c/0x470 net/ipv6/ip6_input.c:590 dst_input include/net/dst.h:474 [inline] ip6_rcv_finish+0x336/0x340 net/ipv6/ip6_input.c:79 ... value changed: 0x00000000 -> 0xe5400659 Уязвимость компонента net/ipv6/ndisc.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: move SCTP_CMD_ASSOC_SHKEY right after SCTP_CMD_PEER_INIT A null-ptr-deref was reported in the SCTP transmit path when SCTP-AUTH key initialization fails: ================================================================== KASAN: null-ptr-deref in range [0x0000000000000018-0x000000000000001f] CPU: 0 PID: 16 Comm: ksoftirqd/0 Tainted: G W 6.6.0 #2 RIP: 0010:sctp_packet_bundle_auth net/sctp/output.c:264 [inline] RIP: 0010:sctp_packet_append_chunk+0xb36/0x1260 net/sctp/output.c:401 Call Trace: sctp_packet_transmit_chunk+0x31/0x250 net/sctp/output.c:189 sctp_outq_flush_data+0xa29/0x26d0 net/sctp/outqueue.c:1111 sctp_outq_flush+0xc80/0x1240 net/sctp/outqueue.c:1217 sctp_cmd_interpreter.isra.0+0x19a5/0x62c0 net/sctp/sm_sideeffect.c:1787 sctp_side_effects net/sctp/sm_sideeffect.c:1198 [inline] sctp_do_sm+0x1a3/0x670 net/sctp/sm_sideeffect.c:1169 sctp_assoc_bh_rcv+0x33e/0x640 net/sctp/associola.c:1052 sctp_inq_push+0x1dd/0x280 net/sctp/inqueue.c:88 sctp_rcv+0x11ae/0x3100 net/sctp/input.c:243 sctp6_rcv+0x3d/0x60 net/sctp/ipv6.c:1127 The issue is triggered when sctp_auth_asoc_init_active_key() fails in sctp_sf_do_5_1C_ack() while processing an INIT_ACK. In this case, the command sequence is currently: - SCTP_CMD_PEER_INIT - SCTP_CMD_TIMER_STOP (T1_INIT) - SCTP_CMD_TIMER_START (T1_COOKIE) - SCTP_CMD_NEW_STATE (COOKIE_ECHOED) - SCTP_CMD_ASSOC_SHKEY - SCTP_CMD_GEN_COOKIE_ECHO If SCTP_CMD_ASSOC_SHKEY fails, asoc->shkey remains NULL, while asoc->peer.auth_capable and asoc->peer.peer_chunks have already been set by SCTP_CMD_PEER_INIT. This allows a DATA chunk with auth = 1 and shkey = NULL to be queued by sctp_datamsg_from_user(). Since command interpretation stops on failure, no COOKIE_ECHO should been sent via SCTP_CMD_GEN_COOKIE_ECHO. However, the T1_COOKIE timer has already been started, and it may enqueue a COOKIE_ECHO into the outqueue later. As a result, the DATA chunk can be transmitted together with the COOKIE_ECHO in sctp_outq_flush_data(), leading to the observed issue. Similar to the other places where it calls sctp_auth_asoc_init_active_key() right after sctp_process_init(), this patch moves the SCTP_CMD_ASSOC_SHKEY immediately after SCTP_CMD_PEER_INIT, before stopping T1_INIT and starting T1_COOKIE. This ensures that if shared key generation fails, authenticated DATA cannot be sent. It also allows the T1_INIT timer to retransmit INIT, giving the client another chance to process INIT_ACK and retry key setup. Уязвимость компонента net/sctp/sm_statefuns.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netdevsim: fix a race issue related to the operation on bpf_bound_progs list The netdevsim driver lacks a protection mechanism for operations on the bpf_bound_progs list. When the nsim_bpf_create_prog() performs list_add_tail, it is possible that nsim_bpf_destroy_prog() is simultaneously performs list_del. Concurrent operations on the list may lead to list corruption and trigger a kernel crash as follows: [ 417.290971] kernel BUG at lib/list_debug.c:62! [ 417.290983] invalid opcode: 0000 [#1] PREEMPT SMP NOPTI [ 417.290992] CPU: 10 PID: 168 Comm: kworker/10:1 Kdump: loaded Not tainted 6.19.0-rc5 #1 [ 417.291003] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 417.291007] Workqueue: events bpf_prog_free_deferred [ 417.291021] RIP: 0010:__list_del_entry_valid_or_report+0xa7/0xc0 [ 417.291034] Code: a8 ff 0f 0b 48 89 fe 48 89 ca 48 c7 c7 48 a1 eb ae e8 ed fb a8 ff 0f 0b 48 89 fe 48 89 c2 48 c7 c7 80 a1 eb ae e8 d9 fb a8 ff <0f> 0b 48 89 d1 48 c7 c7 d0 a1 eb ae 48 89 f2 48 89 c6 e8 c2 fb a8 [ 417.291040] RSP: 0018:ffffb16a40807df8 EFLAGS: 00010246 [ 417.291046] RAX: 000000000000006d RBX: ffff8e589866f500 RCX: 0000000000000000 [ 417.291051] RDX: 0000000000000000 RSI: ffff8e59f7b23180 RDI: ffff8e59f7b23180 [ 417.291055] RBP: ffffb16a412c9000 R08: 0000000000000000 R09: 0000000000000003 [ 417.291059] R10: ffffb16a40807c80 R11: ffffffffaf9edce8 R12: ffff8e594427ac20 [ 417.291063] R13: ffff8e59f7b44780 R14: ffff8e58800b7a05 R15: 0000000000000000 [ 417.291074] FS: 0000000000000000(0000) GS:ffff8e59f7b00000(0000) knlGS:0000000000000000 [ 417.291079] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 417.291083] CR2: 00007fc4083efe08 CR3: 00000001c3626006 CR4: 0000000000770ee0 [ 417.291088] PKRU: 55555554 [ 417.291091] Call Trace: [ 417.291096] <TASK> [ 417.291103] nsim_bpf_destroy_prog+0x31/0x80 [netdevsim] [ 417.291154] __bpf_prog_offload_destroy+0x2a/0x80 [ 417.291163] bpf_prog_dev_bound_destroy+0x6f/0xb0 [ 417.291171] bpf_prog_free_deferred+0x18e/0x1a0 [ 417.291178] process_one_work+0x18a/0x3a0 [ 417.291188] worker_thread+0x27b/0x3a0 [ 417.291197] ? __pfx_worker_thread+0x10/0x10 [ 417.291207] kthread+0xe5/0x120 [ 417.291214] ? __pfx_kthread+0x10/0x10 [ 417.291221] ret_from_fork+0x31/0x50 [ 417.291230] ? __pfx_kthread+0x10/0x10 [ 417.291236] ret_from_fork_asm+0x1a/0x30 [ 417.291246] </TASK> Add a mutex lock, to prevent simultaneous addition and deletion operations on the list. Уязвимость компонентов netdevsim ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: Set __nocfi on swsusp_arch_resume() A DABT is reported[1] on an android based system when resume from hiberate. This happens because swsusp_arch_suspend_exit() is marked with SYM_CODE_*() and does not have a CFI hash, but swsusp_arch_resume() will attempt to verify the CFI hash when calling a copy of swsusp_arch_suspend_exit(). Given that there's an existing requirement that the entrypoint to swsusp_arch_suspend_exit() is the first byte of the .hibernate_exit.text section, we cannot fix this by marking swsusp_arch_suspend_exit() with SYM_FUNC_*(). The simplest fix for now is to disable the CFI check in swsusp_arch_resume(). Mark swsusp_arch_resume() as __nocfi to disable the CFI check. [1] [ 22.991934][ T1] Unable to handle kernel paging request at virtual address 0000000109170ffc [ 22.991934][ T1] Mem abort info: [ 22.991934][ T1] ESR = 0x0000000096000007 [ 22.991934][ T1] EC = 0x25: DABT (current EL), IL = 32 bits [ 22.991934][ T1] SET = 0, FnV = 0 [ 22.991934][ T1] EA = 0, S1PTW = 0 [ 22.991934][ T1] FSC = 0x07: level 3 translation fault [ 22.991934][ T1] Data abort info: [ 22.991934][ T1] ISV = 0, ISS = 0x00000007, ISS2 = 0x00000000 [ 22.991934][ T1] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 22.991934][ T1] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 22.991934][ T1] [0000000109170ffc] user address but active_mm is swapper [ 22.991934][ T1] Internal error: Oops: 0000000096000007 [#1] PREEMPT SMP [ 22.991934][ T1] Dumping ftrace buffer: [ 22.991934][ T1] (ftrace buffer empty) [ 22.991934][ T1] Modules linked in: [ 22.991934][ T1] CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.6.98-android15-8-g0b1d2aee7fc3-dirty-4k #1 688c7060a825a3ac418fe53881730b355915a419 [ 22.991934][ T1] Hardware name: Unisoc UMS9360-base Board (DT) [ 22.991934][ T1] pstate: 804000c5 (Nzcv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 22.991934][ T1] pc : swsusp_arch_resume+0x2ac/0x344 [ 22.991934][ T1] lr : swsusp_arch_resume+0x294/0x344 [ 22.991934][ T1] sp : ffffffc08006b960 [ 22.991934][ T1] x29: ffffffc08006b9c0 x28: 0000000000000000 x27: 0000000000000000 [ 22.991934][ T1] x26: 0000000000000000 x25: 0000000000000000 x24: 0000000000000820 [ 22.991934][ T1] x23: ffffffd0817e3000 x22: ffffffd0817e3000 x21: 0000000000000000 [ 22.991934][ T1] x20: ffffff8089171000 x19: ffffffd08252c8c8 x18: ffffffc080061058 [ 22.991934][ T1] x17: 00000000529c6ef0 x16: 00000000529c6ef0 x15: 0000000000000004 [ 22.991934][ T1] x14: ffffff8178c88000 x13: 0000000000000006 x12: 0000000000000000 [ 22.991934][ T1] x11: 0000000000000015 x10: 0000000000000001 x9 : ffffffd082533000 [ 22.991934][ T1] x8 : 0000000109171000 x7 : 205b5d3433393139 x6 : 392e32322020205b [ 22.991934][ T1] x5 : 000000010916f000 x4 : 000000008164b000 x3 : ffffff808a4e0530 [ 22.991934][ T1] x2 : ffffffd08058e784 x1 : 0000000082326000 x0 : 000000010a283000 [ 22.991934][ T1] Call trace: [ 22.991934][ T1] swsusp_arch_resume+0x2ac/0x344 [ 22.991934][ T1] hibernation_restore+0x158/0x18c [ 22.991934][ T1] load_image_and_restore+0xb0/0xec [ 22.991934][ T1] software_resume+0xf4/0x19c [ 22.991934][ T1] software_resume_initcall+0x34/0x78 [ 22.991934][ T1] do_one_initcall+0xe8/0x370 [ 22.991934][ T1] do_initcall_level+0xc8/0x19c [ 22.991934][ T1] do_initcalls+0x70/0xc0 [ 22.991934][ T1] do_basic_setup+0x1c/0x28 [ 22.991934][ T1] kernel_init_freeable+0xe0/0x148 [ 22.991934][ T1] kernel_init+0x20/0x1a8 [ 22.991934][ T1] ret_from_fork+0x10/0x20 [ 22.991934][ T1] Code: a9400a61 f94013e0 f9438923 f9400a64 (b85fc110) [catalin.marinas@arm.com: commit log updated by Mark Rutland] Уязвимость компонента arch/arm64/kernel/hibernate.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath10k: fix dma_free_coherent() pointer dma_alloc_coherent() allocates a DMA mapped buffer and stores the addresses in XXX_unaligned fields. Those should be reused when freeing the buffer rather than the aligned addresses. Уязвимость компонента drivers/net/wireless/ath/ath10k/ce.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: update last_gc only when GC has been performed Currently last_gc is being updated everytime a new connection is tracked, that means that it is updated even if a GC wasn't performed. With a sufficiently high packet rate, it is possible to always bypass the GC, causing the list to grow infinitely. Update the last_gc value only when a GC has been actually performed. Уязвимость компонента netfilter ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, test_run: Subtract size of xdp_frame from allowed metadata size The xdp_frame structure takes up part of the XDP frame headroom, limiting the size of the metadata. However, in bpf_test_run, we don't take this into account, which makes it possible for userspace to supply a metadata size that is too large (taking up the entire headroom). If userspace supplies such a large metadata size in live packet mode, the xdp_update_frame_from_buff() call in xdp_test_run_init_page() call will fail, after which packet transmission proceeds with an uninitialised frame structure, leading to the usual Bad Stuff. The commit in the Fixes tag fixed a related bug where the second check in xdp_update_frame_from_buff() could fail, but did not add any additional constraints on the metadata size. Complete the fix by adding an additional check on the metadata size. Reorder the checks slightly to make the logic clearer and add a comment. Уязвимость модуля net/bpf/test_run.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Для сокращения поверхности атаки с использованием уязвимости CVE-2026-23140 настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: `kernel.unprivileged_bpf_disabled=1` Сохраните файл. 2. Примените изменения: `sudo sysctl -p` 3. Проверьте текущее состояние sysctl: `cat /proc/sys/kernel/unprivileged_bpf_disabled` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs-scheme: cleanup access_pattern subdirs on scheme dir setup failure When a DAMOS-scheme DAMON sysfs directory setup fails after setup of access_pattern/ directory, subdirectories of access_pattern/ directory are not cleaned up. As a result, DAMON sysfs interface is nearly broken until the system reboots, and the memory for the unremoved directory is leaked. Cleanup the directories under such failures. Уязвимость компонента sysfs-scheme ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs: cleanup attrs subdirs on context dir setup failure When a context DAMON sysfs directory setup is failed after setup of attrs/ directory, subdirectories of attrs/ directory are not cleaned up. As a result, DAMON sysfs interface is nearly broken until the system reboots, and the memory for the unremoved directory is leaked. Cleanup the directories under such failures. Уязвимость компонентов sysfs ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix iloc.bh leak in ext4_xattr_inode_update_ref The error branch for ext4_xattr_inode_update_ref forget to release the refcount for iloc.bh. Find this when review code. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_uart: fix null-ptr-deref in hci_uart_write_work hci_uart_set_proto() sets HCI_UART_PROTO_INIT before calling hci_uart_register_dev(), which calls proto->open() to initialize hu->priv. However, if a TTY write wakeup occurs during this window, hci_uart_tx_wakeup() may schedule write_work before hu->priv is initialized, leading to a NULL pointer dereference in hci_uart_write_work() when proto->dequeue() accesses hu->priv. The race condition is: CPU0 CPU1 ---- ---- hci_uart_set_proto() set_bit(HCI_UART_PROTO_INIT) hci_uart_register_dev() tty write wakeup hci_uart_tty_wakeup() hci_uart_tx_wakeup() schedule_work(&hu->write_work) proto->open(hu) // initializes hu->priv hci_uart_write_work() hci_uart_dequeue() proto->dequeue(hu) // accesses hu->priv (NULL!) Fix this by moving set_bit(HCI_UART_PROTO_INIT) after proto->open() succeeds, ensuring hu->priv is initialized before any work can be scheduled. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: llcp: Fix memleak in nfc_llcp_send_ui_frame(). syzbot reported various memory leaks related to NFC, struct nfc_llcp_sock, sk_buff, nfc_dev, etc. [0] The leading log hinted that nfc_llcp_send_ui_frame() failed to allocate skb due to sock_error(sk) being -ENXIO. ENXIO is set by nfc_llcp_socket_release() when struct nfc_llcp_local is destroyed by local_cleanup(). The problem is that there is no synchronisation between nfc_llcp_send_ui_frame() and local_cleanup(), and skb could be put into local->tx_queue after it was purged in local_cleanup(): CPU1 CPU2 ---- ---- nfc_llcp_send_ui_frame() local_cleanup() |- do { ' |- pdu = nfc_alloc_send_skb(..., &err) | . | |- nfc_llcp_socket_release(local, false, ENXIO); | |- skb_queue_purge(&local->tx_queue); | | ' | |- skb_queue_tail(&local->tx_queue, pdu); | ... | |- pdu = nfc_alloc_send_skb(..., &err) | ^._________________________________.' local_cleanup() is called for struct nfc_llcp_local only after nfc_llcp_remove_local() unlinks it from llcp_devices. If we hold local->tx_queue.lock then, we can synchronise the thread and nfc_llcp_send_ui_frame(). Let's do that and check list_empty(&local->list) before queuing skb to local->tx_queue in nfc_llcp_send_ui_frame(). [0]: [ 56.074943][ T6096] llcp: nfc_llcp_send_ui_frame: Could not allocate PDU (error=-6) [ 64.318868][ T5813] kmemleak: 6 new suspected memory leaks (see /sys/kernel/debug/kmemleak) BUG: memory leak unreferenced object 0xffff8881272f6800 (size 1024): comm "syz.0.17", pid 6096, jiffies 4294942766 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 27 00 03 40 00 00 00 00 00 00 00 00 00 00 00 00 '..@............ backtrace (crc da58d84d): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4979 [inline] slab_alloc_node mm/slub.c:5284 [inline] __do_kmalloc_node mm/slub.c:5645 [inline] __kmalloc_noprof+0x3e3/0x6b0 mm/slub.c:5658 kmalloc_noprof include/linux/slab.h:961 [inline] sk_prot_alloc+0x11a/0x1b0 net/core/sock.c:2239 sk_alloc+0x36/0x360 net/core/sock.c:2295 nfc_llcp_sock_alloc+0x37/0x130 net/nfc/llcp_sock.c:979 llcp_sock_create+0x71/0xd0 net/nfc/llcp_sock.c:1044 nfc_sock_create+0xc9/0xf0 net/nfc/af_nfc.c:31 __sock_create+0x1a9/0x340 net/socket.c:1605 sock_create net/socket.c:1663 [inline] __sys_socket_create net/socket.c:1700 [inline] __sys_socket+0xb9/0x1a0 net/socket.c:1747 __do_sys_socket net/socket.c:1761 [inline] __se_sys_socket net/socket.c:1759 [inline] __x64_sys_socket+0x1b/0x30 net/socket.c:1759 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f BUG: memory leak unreferenced object 0xffff88810fbd9800 (size 240): comm "syz.0.17", pid 6096, jiffies 4294942850 hex dump (first 32 bytes): 68 f0 ff 08 81 88 ff ff 68 f0 ff 08 81 88 ff ff h.......h....... 00 00 00 00 00 00 00 00 00 68 2f 27 81 88 ff ff .........h/'.... backtrace (crc 6cc652b1): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4979 [inline] slab_alloc_node mm/slub.c:5284 [inline] kmem_cache_alloc_node_noprof+0x36f/0x5e0 mm/slub.c:5336 __alloc_skb+0x203/0x240 net/core/skbuff.c:660 alloc_skb include/linux/skbuff.h:1383 [inline] alloc_skb_with_frags+0x69/0x3f0 net/core/sk ---truncated--- Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: efivarfs: fix error propagation in efivar_entry_get() efivar_entry_get() always returns success even if the underlying __efivar_entry_get() fails, masking errors. This may result in uninitialized heap memory being copied to userspace in the efivarfs_file_read() path. Fix it by returning the error from __efivar_entry_get(). Уязвимость ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rocker: fix memory leak in rocker_world_port_post_fini() In rocker_world_port_pre_init(), rocker_port->wpriv is allocated with kzalloc(wops->port_priv_size, GFP_KERNEL). However, in rocker_world_port_post_fini(), the memory is only freed when wops->port_post_fini callback is set: if (!wops->port_post_fini) return; wops->port_post_fini(rocker_port); kfree(rocker_port->wpriv); Since rocker_ofdpa_ops does not implement port_post_fini callback (it is NULL), the wpriv memory allocated for each port is never freed when ports are removed. This leads to a memory leak of sizeof(struct ofdpa_port) bytes per port on every device removal. Fix this by always calling kfree(rocker_port->wpriv) regardless of whether the port_post_fini callback exists. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: nci: Fix race between rfkill and nci_unregister_device(). syzbot reported the splat below [0] without a repro. It indicates that struct nci_dev.cmd_wq had been destroyed before nci_close_device() was called via rfkill. nci_dev.cmd_wq is only destroyed in nci_unregister_device(), which (I think) was called from virtual_ncidev_close() when syzbot close()d an fd of virtual_ncidev. The problem is that nci_unregister_device() destroys nci_dev.cmd_wq first and then calls nfc_unregister_device(), which removes the device from rfkill by rfkill_unregister(). So, the device is still visible via rfkill even after nci_dev.cmd_wq is destroyed. Let's unregister the device from rfkill first in nci_unregister_device(). Note that we cannot call nfc_unregister_device() before nci_close_device() because 1) nfc_unregister_device() calls device_del() which frees all memory allocated by devm_kzalloc() and linked to ndev->conn_info_list 2) nci_rx_work() could try to queue nci_conn_info to ndev->conn_info_list which could be leaked Thus, nfc_unregister_device() is split into two functions so we can remove rfkill interfaces only before nci_close_device(). [0]: DEBUG_LOCKS_WARN_ON(1) WARNING: kernel/locking/lockdep.c:238 at hlock_class kernel/locking/lockdep.c:238 [inline], CPU#0: syz.0.8675/6349 WARNING: kernel/locking/lockdep.c:238 at check_wait_context kernel/locking/lockdep.c:4854 [inline], CPU#0: syz.0.8675/6349 WARNING: kernel/locking/lockdep.c:238 at __lock_acquire+0x39d/0x2cf0 kernel/locking/lockdep.c:5187, CPU#0: syz.0.8675/6349 Modules linked in: CPU: 0 UID: 0 PID: 6349 Comm: syz.0.8675 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/13/2026 RIP: 0010:hlock_class kernel/locking/lockdep.c:238 [inline] RIP: 0010:check_wait_context kernel/locking/lockdep.c:4854 [inline] RIP: 0010:__lock_acquire+0x3a4/0x2cf0 kernel/locking/lockdep.c:5187 Code: 18 00 4c 8b 74 24 08 75 27 90 e8 17 f2 fc 02 85 c0 74 1c 83 3d 50 e0 4e 0e 00 75 13 48 8d 3d 43 f7 51 0e 48 c7 c6 8b 3a de 8d <67> 48 0f b9 3a 90 31 c0 0f b6 98 c4 00 00 00 41 8b 45 20 25 ff 1f RSP: 0018:ffffc9000c767680 EFLAGS: 00010046 RAX: 0000000000000001 RBX: 0000000000040000 RCX: 0000000000080000 RDX: ffffc90013080000 RSI: ffffffff8dde3a8b RDI: ffffffff8ff24ca0 RBP: 0000000000000003 R08: ffffffff8fef35a3 R09: 1ffffffff1fde6b4 R10: dffffc0000000000 R11: fffffbfff1fde6b5 R12: 00000000000012a2 R13: ffff888030338ba8 R14: ffff888030338000 R15: ffff888030338b30 FS: 00007fa5995f66c0(0000) GS:ffff8881256f8000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f7e72f842d0 CR3: 00000000485a0000 CR4: 00000000003526f0 Call Trace: <TASK> lock_acquire+0x106/0x330 kernel/locking/lockdep.c:5868 touch_wq_lockdep_map+0xcb/0x180 kernel/workqueue.c:3940 __flush_workqueue+0x14b/0x14f0 kernel/workqueue.c:3982 nci_close_device+0x302/0x630 net/nfc/nci/core.c:567 nci_dev_down+0x3b/0x50 net/nfc/nci/core.c:639 nfc_dev_down+0x152/0x290 net/nfc/core.c:161 nfc_rfkill_set_block+0x2d/0x100 net/nfc/core.c:179 rfkill_set_block+0x1d2/0x440 net/rfkill/core.c:346 rfkill_fop_write+0x461/0x5a0 net/rfkill/core.c:1301 vfs_write+0x29a/0xb90 fs/read_write.c:684 ksys_write+0x150/0x270 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xe2/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fa59b39acb9 Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 e8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fa5995f6028 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 00007fa59b615fa0 RCX: 00007fa59b39acb9 RDX: 0000000000000008 RSI: 0000200000000080 RDI: 0000000000000007 RBP: 00007fa59b408bf7 R08: ---truncated--- Уязвимость ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: flex_proportions: make fprop_new_period() hardirq safe Bernd has reported a lockdep splat from flexible proportions code that is essentially complaining about the following race: <timer fires> run_timer_softirq - we are in softirq context call_timer_fn writeout_period fprop_new_period write_seqcount_begin(&p->sequence); <hardirq is raised> ... blk_mq_end_request() blk_update_request() ext4_end_bio() folio_end_writeback() __wb_writeout_add() __fprop_add_percpu_max() if (unlikely(max_frac < FPROP_FRAC_BASE)) { fprop_fraction_percpu() seq = read_seqcount_begin(&p->sequence); - sees odd sequence so loops indefinitely Note that a deadlock like this is only possible if the bdi has configured maximum fraction of writeout throughput which is very rare in general but frequent for example for FUSE bdis. To fix this problem we have to make sure write section of the sequence counter is irqsafe. Уязвимость ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix race in mptcp_pm_nl_flush_addrs_doit() syzbot and Eulgyu Kim reported crashes in mptcp_pm_nl_get_local_id() and/or mptcp_pm_nl_is_backup() Root cause is list_splice_init() in mptcp_pm_nl_flush_addrs_doit() which is not RCU ready. list_splice_init_rcu() can not be called here while holding pernet->lock spinlock. Many thanks to Eulgyu Kim for providing a repro and testing our patches. Уязвимость компонента net/mptcp/pm_kernel.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/imx/tve: fix probe device leak Make sure to drop the reference taken to the DDC device during probe on probe failure (e.g. probe deferral) and on driver unbind. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wwan: t7xx: fix potential skb->frags overflow in RX path When receiving data in the DPMAIF RX path, the t7xx_dpmaif_set_frag_to_skb() function adds page fragments to an skb without checking if the number of fragments has exceeded MAX_SKB_FRAGS. This could lead to a buffer overflow in skb_shinfo(skb)->frags[] array, corrupting adjacent memory and potentially causing kernel crashes or other undefined behavior. This issue was identified through static code analysis by comparing with a similar vulnerability fixed in the mt76 driver commit b102f0c522cf ("mt76: fix array overflow on receiving too many fragments for a packet"). The vulnerability could be triggered if the modem firmware sends packets with excessive fragments. While under normal protocol conditions (MTU 3080 bytes, BAT buffer 3584 bytes), a single packet should not require additional fragments, the kernel should not blindly trust firmware behavior. Malicious, buggy, or compromised firmware could potentially craft packets with more fragments than the kernel expects. Fix this by adding a bounds check before calling skb_add_rx_frag() to ensure nr_frags does not exceed MAX_SKB_FRAGS. The check must be performed before unmapping to avoid a page leak and double DMA unmap during device teardown. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: toshiba_haps: Fix memory leaks in add/remove routines toshiba_haps_add() leaks the haps object allocated by it if it returns an error after allocating that object successfully. toshiba_haps_remove() does not free the object pointed to by toshiba_haps before clearing that pointer, so it becomes unreachable allocated memory. Address these memory leaks by using devm_kzalloc() for allocating the memory in question. Уязвимость компонента drivers/platform/x86/toshiba_haps.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: i2c-hid: fix potential buffer overflow in i2c_hid_get_report() `i2c_hid_xfer` is used to read `recv_len + sizeof(__le16)` bytes of data into `ihid->rawbuf`. The former can come from the userspace in the hidraw driver and is only bounded by HID_MAX_BUFFER_SIZE(16384) by default (unless we also set `max_buffer_size` field of `struct hid_ll_driver` which we do not). The latter has size determined at runtime by the maximum size of different report types you could receive on any particular device and can be a much smaller value. Fix this by truncating `recv_len` to `ihid->bufsize - sizeof(__le16)`. The impact is low since access to hidraw devices requires root. Уязвимость ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: add bounds check for if_id in IRQ handler The IRQ handler extracts if_id from the upper 16 bits of the hardware status register and uses it to index into ethsw->ports[] without validation. Since if_id can be any 16-bit value (0-65535) but the ports array is only allocated with sw_attr.num_ifs elements, this can lead to an out-of-bounds read potentially. Add a bounds check before accessing the array, consistent with the existing validation in dpaa2_switch_rx(). Уязвимость компонента dpaa2-switch ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: tegra: Fix a memory leak in tegra_slink_probe() In tegra_slink_probe(), when platform_get_irq() fails, it directly returns from the function with an error code, which causes a memory leak. Replace it with a goto label to ensure proper cleanup. Уязвимость компонента drivers/spi/spi-tegra20-slink.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: imx8m-blk-ctrl: fix out-of-range access of bc->domains Fix out-of-range access of bc->domains in imx8m_blk_ctrl_remove(). Уязвимость компонента drivers/pmdomain/imx/imx8m-blk-ctrl.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: amd: fix memory leak in acp3x pdm dma ops Уязвимость компонента sound/soc/amd/renoir/acp3x-pdm-dma.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Fix use-after-free in iscsit_dec_session_usage_count() In iscsit_dec_session_usage_count(), the function calls complete() while holding the sess->session_usage_lock. Similar to the connection usage count logic, the waiter signaled by complete() (e.g., in the session release path) may wake up and free the iscsit_session structure immediately. This creates a race condition where the current thread may attempt to execute spin_unlock_bh() on a session structure that has already been deallocated, resulting in a KASAN slab-use-after-free. To resolve this, release the session_usage_lock before calling complete() to ensure all dereferences of the sess pointer are finished before the waiter is allowed to proceed with deallocation. Уязвимость компонента drivers/target/iscsi/iscsi_target_util.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: Don't clobber irqfd routing type when deassigning irqfd When deassigning a KVM_IRQFD, don't clobber the irqfd's copy of the IRQ's routing entry as doing so breaks kvm_arch_irq_bypass_del_producer() on x86 and arm64, which explicitly look for KVM_IRQ_ROUTING_MSI. Instead, to handle a concurrent routing update, verify that the irqfd is still active before consuming the routing information. As evidenced by the x86 and arm64 bugs, and another bug in kvm_arch_update_irqfd_routing() (see below), clobbering the entry type without notifying arch code is surprising and error prone. As a bonus, checking that the irqfd is active provides a convenient location for documenting _why_ KVM must not consume the routing entry for an irqfd that is in the process of being deassigned: once the irqfd is deleted from the list (which happens *before* the eventfd is detached), it will no longer receive updates via kvm_irq_routing_update(), and so KVM could deliver an event using stale routing information (relative to KVM_SET_GSI_ROUTING returning to userspace). As an even better bonus, explicitly checking for the irqfd being active fixes a similar bug to the one the clobbering is trying to prevent: if an irqfd is deactivated, and then its routing is changed, kvm_irq_routing_update() won't invoke kvm_arch_update_irqfd_routing() (because the irqfd isn't in the list). And so if the irqfd is in bypass mode, IRQs will continue to be posted using the old routing information. As for kvm_arch_irq_bypass_del_producer(), clobbering the routing type results in KVM incorrectly keeping the IRQ in bypass mode, which is especially problematic on AMD as KVM tracks IRQs that are being posted to a vCPU in a list whose lifetime is tied to the irqfd. Without the help of KASAN to detect use-after-free, the most common sympton on AMD is a NULL pointer deref in amd_iommu_update_ga() due to the memory for irqfd structure being re-allocated and zeroed, resulting in irqfd->irq_bypass_data being NULL when read by avic_update_iommu_vcpu_affinity(): BUG: kernel NULL pointer dereference, address: 0000000000000018 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 40cf2b9067 P4D 40cf2b9067 PUD 408362a067 PMD 0 Oops: Oops: 0000 [#1] SMP CPU: 6 UID: 0 PID: 40383 Comm: vfio_irq_test Tainted: G U W O 6.19.0-smp--5dddc257e6b2-irqfd #31 NONE Tainted: [U]=USER, [W]=WARN, [O]=OOT_MODULE Hardware name: Google, Inc. Arcadia_IT_80/Arcadia_IT_80, BIOS 34.78.2-0 09/05/2025 RIP: 0010:amd_iommu_update_ga+0x19/0xe0 Call Trace: <TASK> avic_update_iommu_vcpu_affinity+0x3d/0x90 [kvm_amd] __avic_vcpu_load+0xf4/0x130 [kvm_amd] kvm_arch_vcpu_load+0x89/0x210 [kvm] vcpu_load+0x30/0x40 [kvm] kvm_arch_vcpu_ioctl_run+0x45/0x620 [kvm] kvm_vcpu_ioctl+0x571/0x6a0 [kvm] __se_sys_ioctl+0x6d/0xb0 do_syscall_64+0x6f/0x9d0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x46893b </TASK> ---[ end trace 0000000000000000 ]--- If AVIC is inhibited when the irfd is deassigned, the bug will manifest as list corruption, e.g. on the next irqfd assignment. list_add corruption. next->prev should be prev (ffff8d474d5cd588), but was 0000000000000000. (next=ffff8d8658f86530). ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:31! Oops: invalid opcode: 0000 [#1] SMP CPU: 128 UID: 0 PID: 80818 Comm: vfio_irq_test Tainted: G U W O 6.19.0-smp--f19dc4d680ba-irqfd #28 NONE Tainted: [U]=USER, [W]=WARN, [O]=OOT_MODULE Hardware name: Google, Inc. Arcadia_IT_80/Arcadia_IT_80, BIOS 34.78.2-0 09/05/2025 RIP: 0010:__list_add_valid_or_report+0x97/0xc0 Call Trace: <TASK> avic_pi_update_irte+0x28e/0x2b0 [kvm_amd] kvm_pi_update_irte+0xbf/0x190 [kvm] kvm_arch_irq_bypass_add_producer+0x72/0x90 [kvm] irq_bypass_register_consumer+0xcd/0x170 [irqbypa ---truncated--- Уязвимость компонента virt/kvm/eventfd.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: tegra210-quad: Protect curr_xfer in tegra_qspi_combined_seq_xfer The curr_xfer field is read by the IRQ handler without holding the lock to check if a transfer is in progress. When clearing curr_xfer in the combined sequence transfer loop, protect it with the spinlock to prevent a race with the interrupt handler. Protect the curr_xfer clearing at the exit path of tegra_qspi_combined_seq_xfer() with the spinlock to prevent a race with the interrupt handler that reads this field. Without this protection, the IRQ handler could read a partially updated curr_xfer value, leading to NULL pointer dereference or use-after-free. Уязвимость компонента drivers/spi/spi-tegra210-quad.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/client: fix memory leak in smb2_open_file() Reproducer: 1. server: directories are exported read-only 2. client: mount -t cifs //${server_ip}/export /mnt 3. client: dd if=/dev/zero of=/mnt/file bs=512 count=1000 oflag=direct 4. client: umount /mnt 5. client: sleep 1 6. client: modprobe -r cifs The error message is as follows: ============================================================================= BUG cifs_small_rq (Not tainted): Objects remaining on __kmem_cache_shutdown() ----------------------------------------------------------------------------- Object 0x00000000d47521be @offset=14336 ... WARNING: mm/slub.c:1251 at __kmem_cache_shutdown+0x34e/0x440, CPU#0: modprobe/1577 ... Call Trace: <TASK> kmem_cache_destroy+0x94/0x190 cifs_destroy_request_bufs+0x3e/0x50 [cifs] cleanup_module+0x4e/0x540 [cifs] __se_sys_delete_module+0x278/0x400 __x64_sys_delete_module+0x5f/0x70 x64_sys_call+0x2299/0x2ff0 do_syscall_64+0x89/0x350 entry_SYSCALL_64_after_hwframe+0x76/0x7e ... kmem_cache_destroy cifs_small_rq: Slab cache still has objects when called from cifs_destroy_request_bufs+0x3e/0x50 [cifs] WARNING: mm/slab_common.c:532 at kmem_cache_destroy+0x16b/0x190, CPU#0: modprobe/1577 Уязвимость компонента fs/smb/client/smb2file.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: prevent ZERO_SIZE_PTR dereference when num_ifs is zero The driver allocates arrays for ports, FDBs, and filter blocks using kcalloc() with ethsw->sw_attr.num_ifs as the element count. When the device reports zero interfaces (either due to hardware configuration or firmware issues), kcalloc(0, ...) returns ZERO_SIZE_PTR (0x10) instead of NULL. Later in dpaa2_switch_probe(), the NAPI initialization unconditionally accesses ethsw->ports[0]->netdev, which attempts to dereference ZERO_SIZE_PTR (address 0x10), resulting in a kernel panic. Add a check to ensure num_ifs is greater than zero after retrieving device attributes. This prevents the zero-sized allocations and subsequent invalid pointer dereference. Уязвимость компонента drivers/net/ethernet/freescale/dpaa2/dpaa2-switch.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macvlan: fix error recovery in macvlan_common_newlink() valis provided a nice repro to crash the kernel: ip link add p1 type veth peer p2 ip link set address 00:00:00:00:00:20 dev p1 ip link set up dev p1 ip link set up dev p2 ip link add mv0 link p2 type macvlan mode source ip link add invalid% link p2 type macvlan mode source macaddr add 00:00:00:00:00:20 ping -c1 -I p1 1.2.3.4 He also gave a very detailed analysis: <quote valis> The issue is triggered when a new macvlan link is created with MACVLAN_MODE_SOURCE mode and MACVLAN_MACADDR_ADD (or MACVLAN_MACADDR_SET) parameter, lower device already has a macvlan port and register_netdevice() called from macvlan_common_newlink() fails (e.g. because of the invalid link name). In this case macvlan_hash_add_source is called from macvlan_change_sources() / macvlan_common_newlink(): This adds a reference to vlan to the port's vlan_source_hash using macvlan_source_entry. vlan is a pointer to the priv data of the link that is being created. When register_netdevice() fails, the error is returned from macvlan_newlink() to rtnl_newlink_create(): if (ops->newlink) err = ops->newlink(dev, &params, extack); else err = register_netdevice(dev); if (err < 0) { free_netdev(dev); goto out; } and free_netdev() is called, causing a kvfree() on the struct net_device that is still referenced in the source entry attached to the lower device's macvlan port. Now all packets sent on the macvlan port with a matching source mac address will trigger a use-after-free in macvlan_forward_source(). </quote valis> With all that, my fix is to make sure we call macvlan_flush_sources() regardless of @create value whenever "goto destroy_macvlan_port;" path is taken. Many thanks to valis for following up on this issue. Уязвимость компонента drivers/net/macvlan.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2026-23209 необходимо запретить загрузку модуля macvlan.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль macvlan в ядро Linux, необходимо выполнить одну из команд: `lsmod | grep macvlan` или `kmod list | grep macvlan` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: `sudo rmmod macvlan` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: `install macvlan /bin/true` 5. Обновить параметры загрузки командой: `sudo update-initramfs -uk all` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: annotate data-races around slave->last_rx slave->last_rx and slave->target_last_arp_rx[...] can be read and written locklessly. Add READ_ONCE() and WRITE_ONCE() annotations. syzbot reported: BUG: KCSAN: data-race in bond_rcv_validate / bond_rcv_validate write to 0xffff888149f0d428 of 8 bytes by interrupt on cpu 1: bond_rcv_validate+0x202/0x7a0 drivers/net/bonding/bond_main.c:3335 bond_handle_frame+0xde/0x5e0 drivers/net/bonding/bond_main.c:1533 __netif_receive_skb_core+0x5b1/0x1950 net/core/dev.c:6039 __netif_receive_skb_one_core net/core/dev.c:6150 [inline] __netif_receive_skb+0x59/0x270 net/core/dev.c:6265 netif_receive_skb_internal net/core/dev.c:6351 [inline] netif_receive_skb+0x4b/0x2d0 net/core/dev.c:6410 ... write to 0xffff888149f0d428 of 8 bytes by interrupt on cpu 0: bond_rcv_validate+0x202/0x7a0 drivers/net/bonding/bond_main.c:3335 bond_handle_frame+0xde/0x5e0 drivers/net/bonding/bond_main.c:1533 __netif_receive_skb_core+0x5b1/0x1950 net/core/dev.c:6039 __netif_receive_skb_one_core net/core/dev.c:6150 [inline] __netif_receive_skb+0x59/0x270 net/core/dev.c:6265 netif_receive_skb_internal net/core/dev.c:6351 [inline] netif_receive_skb+0x4b/0x2d0 net/core/dev.c:6410 br_netif_receive_skb net/bridge/br_input.c:30 [inline] NF_HOOK include/linux/netfilter.h:318 [inline] ... value changed: 0x0000000100005365 -> 0x0000000100005366 Уязвимость ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Fix use-after-free in iscsit_dec_conn_usage_count() In iscsit_dec_conn_usage_count(), the function calls complete() while holding the conn->conn_usage_lock. As soon as complete() is invoked, the waiter (such as iscsit_close_connection()) may wake up and proceed to free the iscsit_conn structure. If the waiter frees the memory before the current thread reaches spin_unlock_bh(), it results in a KASAN slab-use-after-free as the function attempts to release a lock within the already-freed connection structure. Fix this by releasing the spinlock before calling complete(). Уязвимость компонента drivers/target/iscsi/iscsi_target_util.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix infinite loop caused by next_smb2_rcv_hdr_off reset in error paths The problem occurs when a signed request fails smb2 signature verification check. In __process_request(), if check_sign_req() returns an error, set_smb2_rsp_status(work, STATUS_ACCESS_DENIED) is called. set_smb2_rsp_status() set work->next_smb2_rcv_hdr_off as zero. By resetting next_smb2_rcv_hdr_off to zero, the pointer to the next command in the chain is lost. Consequently, is_chained_smb2_message() continues to point to the same request header instead of advancing. If the header's NextCommand field is non-zero, the function returns true, causing __handle_ksmbd_work() to repeatedly process the same failed request in an infinite loop. This results in the kernel log being flooded with "bad smb2 signature" messages and high CPU usage. This patch fixes the issue by changing the return value from SERVER_HANDLER_CONTINUE to SERVER_HANDLER_ABORT. This ensures that the processing loop terminates immediately rather than attempting to continue from an invalidated offset. Уязвимость компонента fs/smb/server/server.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: fsl-mc: fix use-after-free in driver_override_show() The driver_override_show() function reads the driver_override string without holding the device_lock. However, driver_override_store() uses driver_set_override(), which modifies and frees the string while holding the device_lock. This can result in a concurrent use-after-free if the string is freed by the store function while being read by the show function. Fix this by holding the device_lock around the read operation. Уязвимость компонента drivers/bus/fsl-mc/fsl-mc-bus.c ядра операционной системы Linux ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: omap - Allocate OMAP_CRYPTO_FORCE_COPY scatterlists correctly The existing allocation of scatterlists in omap_crypto_copy_sg_lists() was allocating an array of scatterlist pointers, not scatterlist objects, resulting in a 4x too small allocation. Use sizeof(*new_sg) to get the correct object size. Уязвимость компонента drivers/crypto/omap-crypto.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: server: fix leak of active_num_conn in ksmbd_tcp_new_connection() On kthread_run() failure in ksmbd_tcp_new_connection(), the transport is freed via free_transport(), which does not decrement active_num_conn, leaking this counter. Replace free_transport() with ksmbd_tcp_disconnect(). Уязвимость компонента fs/smb/server/transport_tcp.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: virtio - Add spinlock protection with virtqueue notification When VM boots with one virtio-crypto PCI device and builtin backend, run openssl benchmark command with multiple processes, such as openssl speed -evp aes-128-cbc -engine afalg -seconds 10 -multi 32 openssl processes will hangup and there is error reported like this: virtio_crypto virtio0: dataq.0:id 3 is not a head! It seems that the data virtqueue need protection when it is handled for virtio done notification. If the spinlock protection is added in virtcrypto_done_task(), openssl benchmark with multiple processes works well. Уязвимость компонента drivers/crypto/virtio/virtio_crypto_core.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: split cached_fid bitfields to avoid shared-byte RMW races is_open, has_lease and on_list are stored in the same bitfield byte in struct cached_fid but are updated in different code paths that may run concurrently. Bitfield assignments generate byte read–modify–write operations (e.g. `orb $mask, addr` on x86_64), so updating one flag can restore stale values of the others. A possible interleaving is: CPU1: load old byte (has_lease=1, on_list=1) CPU2: clear both flags (store 0) CPU1: RMW store (old | IS_OPEN) -> reintroduces cleared bits To avoid this class of races, convert these flags to separate bool fields. Уязвимость компонента fs/smb/client/cached_dir.h ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: fix use-after-free in nf_tables_addchain() nf_tables_addchain() publishes the chain to table->chains via list_add_tail_rcu() (in nft_chain_add()) before registering hooks. If nf_tables_register_hook() then fails, the error path calls nft_chain_del() (list_del_rcu()) followed by nf_tables_chain_destroy() with no RCU grace period in between. This creates two use-after-free conditions: 1) Control-plane: nf_tables_dump_chains() traverses table->chains under rcu_read_lock(). A concurrent dump can still be walking the chain when the error path frees it. 2) Packet path: for NFPROTO_INET, nf_register_net_hook() briefly installs the IPv4 hook before IPv6 registration fails. Packets entering nft_do_chain() via the transient IPv4 hook can still be dereferencing chain->blob_gen_X when the error path frees the chain. Add synchronize_rcu() between nft_chain_del() and the chain destroy so that all RCU readers -- both dump threads and in-flight packet evaluation -- have finished before the chain is freed. Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid UAF in f2fs_write_end_io() As syzbot reported an use-after-free issue in f2fs_write_end_io(). It is caused by below race condition: loop device umount - worker_thread - loop_process_work - do_req_filebacked - lo_rw_aio - lo_rw_aio_complete - blk_mq_end_request - blk_update_request - f2fs_write_end_io - dec_page_count - folio_end_writeback - kill_f2fs_super - kill_block_super - f2fs_put_super : free(sbi) : get_pages(, F2FS_WB_CP_DATA) accessed sbi which is freed In kill_f2fs_super(), we will drop all page caches of f2fs inodes before call free(sbi), it guarantee that all folios should end its writeback, so it should be safe to access sbi before last folio_end_writeback(). Let's relocate ckpt thread wakeup flow before folio_end_writeback() to resolve this issue. Уязвимость компонента fs/f2fs/data.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix out-of-bounds access in sysfs attribute read/write Some f2fs sysfs attributes suffer from out-of-bounds memory access and incorrect handling of integer values whose size is not 4 bytes. For example: vm:~# echo 65537 > /sys/fs/f2fs/vde/carve_out vm:~# cat /sys/fs/f2fs/vde/carve_out 65537 vm:~# echo 4294967297 > /sys/fs/f2fs/vde/atgc_age_threshold vm:~# cat /sys/fs/f2fs/vde/atgc_age_threshold 1 carve_out maps to {struct f2fs_sb_info}->carve_out, which is a 8-bit integer. However, the sysfs interface allows setting it to a value larger than 255, resulting in an out-of-range update. atgc_age_threshold maps to {struct atgc_management}->age_threshold, which is a 64-bit integer, but its sysfs interface cannot correctly set values larger than UINT_MAX. The root causes are: 1. __sbi_store() treats all default values as unsigned int, which prevents updating integers larger than 4 bytes and causes out-of-bounds writes for integers smaller than 4 bytes. 2. f2fs_sbi_show() also assumes all default values are unsigned int, leading to out-of-bounds reads and incorrect access to integers larger than 4 bytes. This patch introduces {struct f2fs_attr}->size to record the actual size of the integer associated with each sysfs attribute. With this information, sysfs read and write operations can correctly access and update values according to their real data size, avoiding memory corruption and truncation. Уязвимость компонента fs/f2fs/sysfs.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: smscufx: properly copy ioctl memory to kernelspace The UFX_IOCTL_REPORT_DAMAGE ioctl does not properly copy data from userspace to kernelspace, and instead directly references the memory, which can cause problems if invalid data is passed from userspace. Fix this all up by correctly copying the memory before accessing it within the kernel. Уязвимость компонента drivers/video/fbdev/smscufx.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: classmate-laptop: Add missing NULL pointer checks In a few places in the Classmate laptop driver, code using the accel object may run before that object's address is stored in the driver data of the input device using it. For example, cmpc_accel_sensitivity_store_v4() is the "show" method of cmpc_accel_sensitivity_attr_v4 which is added in cmpc_accel_add_v4(), before calling dev_set_drvdata() for inputdev->dev. If the sysfs attribute is accessed prematurely, the dev_get_drvdata(&inputdev->dev) call in in cmpc_accel_sensitivity_store_v4() returns NULL which leads to a NULL pointer dereference going forward. Moreover, sysfs attributes using the input device are added before initializing that device by cmpc_add_acpi_notify_device() and if one of them is accessed before running that function, a NULL pointer dereference will occur. For example, cmpc_accel_sensitivity_attr_v4 is added before calling cmpc_add_acpi_notify_device() and if it is read prematurely, the dev_get_drvdata(&acpi->dev) call in cmpc_accel_sensitivity_show_v4() returns NULL which leads to a NULL pointer dereference going forward. Fix this by adding NULL pointer checks in all of the relevant places. Уязвимость компонента drivers/platform/x86/classmate-laptop.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: romfs: check sb_set_blocksize() return value romfs_fill_super() ignores the return value of sb_set_blocksize(), which can fail if the requested block size is incompatible with the block device's configuration. This can be triggered by setting a loop device's block size larger than PAGE_SIZE using ioctl(LOOP_SET_BLOCK_SIZE, 32768), then mounting a romfs filesystem on that device. When sb_set_blocksize(sb, ROMBSIZE) is called with ROMBSIZE=4096 but the device has logical_block_size=32768, bdev_validate_blocksize() fails because the requested size is smaller than the device's logical block size. sb_set_blocksize() returns 0 (failure), but romfs ignores this and continues mounting. The superblock's block size remains at the device's logical block size (32768). Later, when sb_bread() attempts I/O with this oversized block size, it triggers a kernel BUG in folio_set_bh(): kernel BUG at fs/buffer.c:1582! BUG_ON(size > PAGE_SIZE); Fix by checking the return value of sb_set_blocksize() and failing the mount with -EINVAL if it returns 0. Уязвимость компонента fs/romfs/super.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/siw: Fix potential NULL pointer dereference in header processing If siw_get_hdr() returns -EINVAL before set_rx_fpdu_context(), qp->rx_fpdu can be NULL. The error path in siw_tcp_rx_data() dereferences qp->rx_fpdu->more_ddp_segs without checking, which may lead to a NULL pointer deref. Only check more_ddp_segs when rx_fpdu is present. KASAN splat: [ 101.384271] KASAN: null-ptr-deref in range [0x00000000000000c0-0x00000000000000c7] [ 101.385869] RIP: 0010:siw_tcp_rx_data+0x13ad/0x1e50 Уязвимость компонента drivers/infiniband/sw/siw/siw_qp_rx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/umad: Reject negative data_len in ib_umad_write ib_umad_write computes data_len from user-controlled count and the MAD header sizes. With a mismatched user MAD header size and RMPP header length, data_len can become negative and reach ib_create_send_mad(). This can make the padding calculation exceed the segment size and trigger an out-of-bounds memset in alloc_send_rmpp_list(). Add an explicit check to reject negative data_len before creating the send buffer. KASAN splat: [ 211.363464] BUG: KASAN: slab-out-of-bounds in ib_create_send_mad+0xa01/0x11b0 [ 211.364077] Write of size 220 at addr ffff88800c3fa1f8 by task spray_thread/102 [ 211.365867] ib_create_send_mad+0xa01/0x11b0 [ 211.365887] ib_umad_write+0x853/0x1c80 Уязвимость компонента drivers/infiniband/core/user_mad.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: liquidio: Fix off-by-one error in VF setup_nic_devices() cleanup In setup_nic_devices(), the initialization loop jumps to the label setup_nic_dev_free on failure. The current cleanup loop while(i--) skip the failing index i, causing a memory leak. Fix this by changing the loop to iterate from the current index i down to 0. Compile tested only. Issue found using code review. Уязвимость ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: liquidio: Fix off-by-one error in PF setup_nic_devices() cleanup In setup_nic_devices(), the initialization loop jumps to the label setup_nic_dev_free on failure. The current cleanup loop while(i--) skip the failing index i, causing a memory leak. Fix this by changing the loop to iterate from the current index i down to 0. Also, decrement i in the devlink_alloc failure path to point to the last successfully allocated index. Compile tested only. Issue found using code review. Уязвимость функции setup_nic_devices() модуля drivers/net/ethernet/cavium/liquidio/lio_main.c ядра операционной системы Linux связана с ошибкой смещения на единицу. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: liquidio: Initialize netdev pointer before queue setup In setup_nic_devices(), the netdev is allocated using alloc_etherdev_mq(). However, the pointer to this structure is stored in oct->props[i].netdev only after the calls to netif_set_real_num_rx_queues() and netif_set_real_num_tx_queues(). If either of these functions fails, setup_nic_devices() returns an error without freeing the allocated netdev. Since oct->props[i].netdev is still NULL at this point, the cleanup function liquidio_destroy_nic_device() will fail to find and free the netdev, resulting in a memory leak. Fix this by initializing oct->props[i].netdev before calling the queue setup functions. This ensures that the netdev is properly accessible for cleanup in case of errors. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость функции setup_nic_devices() модуля drivers/net/ethernet/cavium/liquidio/lio_main.c ядра операционной системы Linux связана с использованием неинициализированного указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gve: Fix stats report corruption on queue count change The driver and the NIC share a region in memory for stats reporting. The NIC calculates its offset into this region based on the total size of the stats region and the size of the NIC's stats. When the number of queues is changed, the driver's stats region is resized. If the queue count is increased, the NIC can write past the end of the allocated stats region, causing memory corruption. If the queue count is decreased, there is a gap between the driver and NIC stats, leading to incorrect stats reporting. This change fixes the issue by allocating stats region with maximum size, and the offset calculation for NIC stats is changed to match with the calculation of the NIC. Уязвимость ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "drm/amd: Check if ASPM is enabled from PCIe subsystem" This reverts commit 7294863a6f01248d72b61d38478978d638641bee. This commit was erroneously applied again after commit 0ab5d711ec74 ("drm/amd: Refactor `amdgpu_aspm` to be evaluated per device") removed it, leading to very hard to debug crashes, when used with a system with two AMD GPUs of which only one supports ASPM. (cherry picked from commit 97a9689300eb2b393ba5efc17c8e5db835917080) Уязвимость ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: rivafb: fix divide error in nv3_arb() A userspace program can trigger the RIVA NV3 arbitration code by calling the FBIOPUT_VSCREENINFO ioctl on /dev/fb*. When doing so, the driver recomputes FIFO arbitration parameters in nv3_arb(), using state->mclk_khz (derived from the PRAMDAC MCLK PLL) as a divisor without validating it first. In a normal setup, state->mclk_khz is provided by the real hardware and is non-zero. However, an attacker can construct a malicious or misconfigured device (e.g. a crafted/emulated PCI device) that exposes a bogus PLL configuration, causing state->mclk_khz to become zero. Once nv3_get_param() calls nv3_arb(), the division by state->mclk_khz in the gns calculation causes a divide error and crashes the kernel. Fix this by checking whether state->mclk_khz is zero and bailing out before doing the division. The following log reveals it: rivafb: setting virtual Y resolution to 2184 divide error: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 0 PID: 2187 Comm: syz-executor.0 Not tainted 5.18.0-rc1+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.12.0-59-gc9ba5276e321-prebuilt.qemu.org 04/01/2014 RIP: 0010:nv3_arb drivers/video/fbdev/riva/riva_hw.c:439 [inline] RIP: 0010:nv3_get_param+0x3ab/0x13b0 drivers/video/fbdev/riva/riva_hw.c:546 Call Trace: nv3CalcArbitration.constprop.0+0x255/0x460 drivers/video/fbdev/riva/riva_hw.c:603 nv3UpdateArbitrationSettings drivers/video/fbdev/riva/riva_hw.c:637 [inline] CalcStateExt+0x447/0x1b90 drivers/video/fbdev/riva/riva_hw.c:1246 riva_load_video_mode+0x8a9/0xea0 drivers/video/fbdev/riva/fbdev.c:779 rivafb_set_par+0xc0/0x5f0 drivers/video/fbdev/riva/fbdev.c:1196 fb_set_var+0x604/0xeb0 drivers/video/fbdev/core/fbmem.c:1033 do_fb_ioctl+0x234/0x670 drivers/video/fbdev/core/fbmem.c:1109 fb_ioctl+0xdd/0x130 drivers/video/fbdev/core/fbmem.c:1188 __x64_sys_ioctl+0x122/0x190 fs/ioctl.c:856 Уязвимость функции nv3_arb() модуля drivers/video/fbdev/riva/riva_hw.c ядра операционной системы Linux связана с ошибочным делением на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix IS_CHECKPOINTED flag inconsistency issue caused by concurrent atomic commit and checkpoint writes During SPO tests, when mounting F2FS, an -EINVAL error was returned from f2fs_recover_inode_page. The issue occurred under the following scenario Thread A Thread B f2fs_ioc_commit_atomic_write - f2fs_do_sync_file // atomic = true - f2fs_fsync_node_pages : last_folio = inode folio : schedule before folio_lock(last_folio) f2fs_write_checkpoint - block_operations// writeback last_folio - schedule before f2fs_flush_nat_entries : set_fsync_mark(last_folio, 1) : set_dentry_mark(last_folio, 1) : folio_mark_dirty(last_folio) - __write_node_folio(last_folio) : f2fs_down_read(&sbi->node_write)//block - f2fs_flush_nat_entries : {struct nat_entry}->flag |= BIT(IS_CHECKPOINTED) - unblock_operations : f2fs_up_write(&sbi->node_write) f2fs_write_checkpoint//return : f2fs_do_write_node_page() f2fs_ioc_commit_atomic_write//return SPO Thread A calls f2fs_need_dentry_mark(sbi, ino), and the last_folio has already been written once. However, the {struct nat_entry}->flag did not have the IS_CHECKPOINTED set, causing set_dentry_mark(last_folio, 1) and write last_folio again after Thread B finishes f2fs_write_checkpoint. After SPO and reboot, it was detected that {struct node_info}->blk_addr was not NULL_ADDR because Thread B successfully write the checkpoint. This issue only occurs in atomic write scenarios. For regular file fsync operations, the folio must be dirty. If block_operations->f2fs_sync_node_pages successfully submit the folio write, this path will not be executed. Otherwise, the f2fs_write_checkpoint will need to wait for the folio write submission to complete, as sbi->nr_pages[F2FS_DIRTY_NODES] > 0. Therefore, the situation where f2fs_need_dentry_mark checks that the {struct nat_entry}->flag /wo the IS_CHECKPOINTED flag, but the folio write has already been submitted, will not occur. Therefore, for atomic file fsync, sbi->node_write should be acquired through __write_node_folio to ensure that the IS_CHECKPOINTED flag correctly indicates that the checkpoint write has been completed. Уязвимость модуля fs/f2fs/node.c ядра операционной системы Linux связана с неправильной синхронизацией в результате некорректной проверки флага IS_CHECKPOINTED. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix unprivileged local user can do privileged policy management An unprivileged local user can load, replace, and remove profiles by opening the apparmorfs interfaces, via a confused deputy attack, by passing the opened fd to a privileged process, and getting the privileged process to write to the interface. This does require a privileged target that can be manipulated to do the write for the unprivileged process, but once such access is achieved full policy management is possible and all the possible implications that implies: removing confinement, DoS of system or target applications by denying all execution, by-passing the unprivileged user namespace restriction, to exploiting kernel bugs for a local privilege escalation. The policy management interface can not have its permissions simply changed from 0666 to 0600 because non-root processes need to be able to load policy to different policy namespaces. Instead ensure the task writing the interface has privileges that are a subset of the task that opened the interface. This is already done via policy for confined processes, but unconfined can delegate access to the opened fd, by-passing the usual policy check. Уязвимость компонента apparmor ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: validate DFA start states are in bounds in unpack_pdb Start states are read from untrusted data and used as indexes into the DFA state tables. The aa_dfa_next() function call in unpack_pdb() will access dfa->tables[YYTD_ID_BASE][start], and if the start state exceeds the number of states in the DFA, this results in an out-of-bound read. ================================================================== BUG: KASAN: slab-out-of-bounds in aa_dfa_next+0x2a1/0x360 Read of size 4 at addr ffff88811956fb90 by task su/1097 ... Reject policies with out-of-bounds start states during unpacking to prevent the issue. Уязвимость компонента apparmor ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf: Fix __perf_event_overflow() vs perf_remove_from_context() race Make sure that __perf_event_overflow() runs with IRQs disabled for all possible callchains. Specifically the software events can end up running it with only preemption disabled. This opens up a race vs perf_event_exit_event() and friends that will go and free various things the overflow path expects to be present, like the BPF program. Уязвимость компонента perf ядра операционной системы Linux связана с истечением срока действия ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл etc/sysctl.conf и добавить или отредактировать строку с kernel.perf_event_paranoid: ``` kernel.perf_event_paranoid = 3 ``` 2. Выполнить ``` sudo sysctl -p ``` 3. Перезагрузить систему. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: unconditionally bump set->nelems before insertion In case that the set is full, a new element gets published then removed without waiting for the RCU grace period, while RCU reader can be walking over it already. To address this issue, add the element transaction even if set is full, but toggle the set_full flag to report -ENFILE so the abort path safely unwinds the set to its previous state. As for element updates, decrement set->nelems to restore it. A simpler fix is to call synchronize_rcu() in the error path. However, with a large batch adding elements to already maxed-out set, this could cause noticeable slowdown of such batches. Уязвимость функции nft_add_set_elem() компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2026-23272 необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables``` или ``` kmod list | grep nf_tables``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macvlan: observe an RCU grace period in macvlan_common_newlink() error path valis reported that a race condition still happens after my prior patch. macvlan_common_newlink() might have made @dev visible before detecting an error, and its caller will directly call free_netdev(dev). We must respect an RCU period, either in macvlan or the core networking stack. After adding a temporary mdelay(1000) in macvlan_forward_source_one() to open the race window, valis repro was: ip link add p1 type veth peer p2 ip link set address 00:00:00:00:00:20 dev p1 ip link set up dev p1 ip link set up dev p2 ip link add mv0 link p2 type macvlan mode source (ip link add invalid% link p2 type macvlan mode source macaddr add 00:00:00:00:00:20 &) ; sleep 0.5 ; ping -c1 -I p1 1.2.3.4 PING 1.2.3.4 (1.2.3.4): 56 data bytes RTNETLINK answers: Invalid argument BUG: KASAN: slab-use-after-free in macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) Read of size 8 at addr ffff888016bb89c0 by task e/175 CPU: 1 UID: 1000 PID: 175 Comm: e Not tainted 6.19.0-rc8+ #33 NONE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.14.0-2 04/01/2014 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:123) print_report (mm/kasan/report.c:379 mm/kasan/report.c:482) ? macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) kasan_report (mm/kasan/report.c:597) ? macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) ? tasklet_init (kernel/softirq.c:983) macvlan_handle_frame (drivers/net/macvlan.c:501) Allocated by task 169: kasan_save_stack (mm/kasan/common.c:58) kasan_save_track (./arch/x86/include/asm/current.h:25 mm/kasan/common.c:70 mm/kasan/common.c:79) __kasan_kmalloc (mm/kasan/common.c:419) __kvmalloc_node_noprof (./include/linux/kasan.h:263 mm/slub.c:5657 mm/slub.c:7140) alloc_netdev_mqs (net/core/dev.c:12012) rtnl_create_link (net/core/rtnetlink.c:3648) rtnl_newlink (net/core/rtnetlink.c:3830 net/core/rtnetlink.c:3957 net/core/rtnetlink.c:4072) rtnetlink_rcv_msg (net/core/rtnetlink.c:6958) netlink_rcv_skb (net/netlink/af_netlink.c:2550) netlink_unicast (net/netlink/af_netlink.c:1319 net/netlink/af_netlink.c:1344) netlink_sendmsg (net/netlink/af_netlink.c:1894) __sys_sendto (net/socket.c:727 net/socket.c:742 net/socket.c:2206) __x64_sys_sendto (net/socket.c:2209) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:131) Freed by task 169: kasan_save_stack (mm/kasan/common.c:58) kasan_save_track (./arch/x86/include/asm/current.h:25 mm/kasan/common.c:70 mm/kasan/common.c:79) kasan_save_free_info (mm/kasan/generic.c:587) __kasan_slab_free (mm/kasan/common.c:287) kfree (mm/slub.c:6674 mm/slub.c:6882) rtnl_newlink (net/core/rtnetlink.c:3845 net/core/rtnetlink.c:3957 net/core/rtnetlink.c:4072) rtnetlink_rcv_msg (net/core/rtnetlink.c:6958) netlink_rcv_skb (net/netlink/af_netlink.c:2550) netlink_unicast (net/netlink/af_netlink.c:1319 net/netlink/af_netlink.c:1344) netlink_sendmsg (net/netlink/af_netlink.c:1894) __sys_sendto (net/socket.c:727 net/socket.c:742 net/socket.c:2206) __x64_sys_sendto (net/socket.c:2209) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:131) Уязвимость компонента drivers/net/macvlan.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: xt_IDLETIMER: reject rev0 reuse of ALARM timer labels IDLETIMER revision 0 rules reuse existing timers by label and always call mod_timer() on timer->timer. If the label was created first by revision 1 with XT_IDLETIMER_ALARM, the object uses alarm timer semantics and timer->timer is never initialized. Reusing that object from revision 0 causes mod_timer() on an uninitialized timer_list, triggering debugobjects warnings and possible panic when panic_on_warn=1. Fix this by rejecting revision 0 rule insertion when an existing timer with the same label is of ALARM type. Уязвимость компонента net/netfilter/xt_IDLETIMER.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xt_IDLETIMER.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xt_IDLETIMER в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xt_IDLETIMER ``` или ``` kmod list | grep xt_IDLETIMER ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xt_IDLETIMER ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xt_IDLETIMER /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: always walk all pending catchall elements During transaction processing we might have more than one catchall element: 1 live catchall element and 1 pending element that is coming as part of the new batch. If the map holding the catchall elements is also going away, its required to toggle all catchall elements and not just the first viable candidate. Otherwise, we get: WARNING: ./include/net/netfilter/nf_tables.h:1281 at nft_data_release+0xb7/0xe0 [nf_tables], CPU#2: nft/1404 RIP: 0010:nft_data_release+0xb7/0xe0 [nf_tables] [..] __nft_set_elem_destroy+0x106/0x380 [nf_tables] nf_tables_abort_release+0x348/0x8d0 [nf_tables] nf_tables_abort+0xcf2/0x3ac0 [nf_tables] nfnetlink_rcv_batch+0x9c9/0x20e0 [..] Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: split gc into unlink and reclaim phase Yiming Qian reports Use-after-free in the pipapo set type: Under a large number of expired elements, commit-time GC can run for a very long time in a non-preemptible context, triggering soft lockup warnings and RCU stall reports (local denial of service). We must split GC in an unlink and a reclaim phase. We cannot queue elements for freeing until pointers have been swapped. Expired elements are still exposed to both the packet path and userspace dumpers via the live copy of the data structure. call_rcu() does not protect us: dump operations or element lookups starting after call_rcu has fired can still observe the free'd element, unless the commit phase has made enough progress to swap the clone and live pointers before any new reader has picked up the old version. This a similar approach as done recently for the rbtree backend in commit 35f83a75529a ("netfilter: nft_set_rbtree: don't gc elements on insert"). Уязвимость компонента netfilter ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: release flowtable after rcu grace period on error Call synchronize_rcu() after unregistering the hooks from error path, since a hook that already refers to this flowtable can be already registered, exposing this flowtable to packet path and nfnetlink_hook control plane. This error path is rare, it should only happen by reaching the maximum number hooks or by failing to set up to hardware offload, just call synchronize_rcu(). There is a check for already used device hooks by different flowtable that could result in EEXIST at this late stage. The hook parser can be updated to perform this check earlier to this error path really becomes rarely exercised. Uncovered by KASAN reported as use-after-free from nfnetlink_hook path when dumping hooks. Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Give up GC if MSG_PEEK intervened. Igor Ushakov reported that GC purged the receive queue of an alive socket due to a race with MSG_PEEK with a nice repro. This is the exact same issue previously fixed by commit cbcf01128d0a ("af_unix: fix garbage collect vs MSG_PEEK"). After GC was replaced with the current algorithm, the cited commit removed the locking dance in unix_peek_fds() and reintroduced the same issue. The problem is that MSG_PEEK bumps a file refcount without interacting with GC. Consider an SCC containing sk-A and sk-B, where sk-A is close()d but can be recv()ed via sk-B. The bad thing happens if sk-A is recv()ed with MSG_PEEK from sk-B and sk-B is close()d while GC is checking unix_vertex_dead() for sk-A and sk-B. GC thread User thread --------- ----------- unix_vertex_dead(sk-A) -> true <------. \ `------ recv(sk-B, MSG_PEEK) invalidate !! -> sk-A's file refcount : 1 -> 2 close(sk-B) -> sk-B's file refcount : 2 -> 1 unix_vertex_dead(sk-B) -> true Initially, sk-A's file refcount is 1 by the inflight fd in sk-B recvq. GC thinks sk-A is dead because the file refcount is the same as the number of its inflight fds. However, sk-A's file refcount is bumped silently by MSG_PEEK, which invalidates the previous evaluation. At this moment, sk-B's file refcount is 2; one by the open fd, and one by the inflight fd in sk-A. The subsequent close() releases one refcount by the former. Finally, GC incorrectly concludes that both sk-A and sk-B are dead. One option is to restore the locking dance in unix_peek_fds(), but we can resolve this more elegantly thanks to the new algorithm. The point is that the issue does not occur without the subsequent close() and we actually do not need to synchronise MSG_PEEK with the dead SCC detection. When the issue occurs, close() and GC touch the same file refcount. If GC sees the refcount being decremented by close(), it can just give up garbage-collecting the SCC. Therefore, we only need to signal the race during MSG_PEEK with a proper memory barrier to make it visible to the GC. Let's use seqcount_t to notify GC when MSG_PEEK occurs and let it defer the SCC to the next run. This way no locking is needed on the MSG_PEEK side, and we can avoid imposing a penalty on every MSG_PEEK unnecessarily. Note that we can retry within unix_scc_dead() if MSG_PEEK is detected, but we do not do so to avoid hung task splat from abusive MSG_PEEK calls. Уязвимость компонента af_unix ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: icmp: fix NULL pointer dereference in icmp_tag_validation() icmp_tag_validation() unconditionally dereferences the result of rcu_dereference(inet_protos[proto]) without checking for NULL. The inet_protos[] array is sparse -- only about 15 of 256 protocol numbers have registered handlers. When ip_no_pmtu_disc is set to 3 (hardened PMTU mode) and the kernel receives an ICMP Fragmentation Needed error with a quoted inner IP header containing an unregistered protocol number, the NULL dereference causes a kernel panic in softirq context. Oops: general protection fault, probably for non-canonical address 0xdffffc0000000002: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000010-0x0000000000000017] RIP: 0010:icmp_unreach (net/ipv4/icmp.c:1085 net/ipv4/icmp.c:1143) Call Trace: <IRQ> icmp_rcv (net/ipv4/icmp.c:1527) ip_protocol_deliver_rcu (net/ipv4/ip_input.c:207) ip_local_deliver_finish (net/ipv4/ip_input.c:242) ip_local_deliver (net/ipv4/ip_input.c:262) ip_rcv (net/ipv4/ip_input.c:573) __netif_receive_skb_one_core (net/core/dev.c:6164) process_backlog (net/core/dev.c:6628) handle_softirqs (kernel/softirq.c:561) </IRQ> Add a NULL check before accessing icmp_strict_tag_validation. If the protocol has no registered handler, return false since it cannot perform strict tag validation. Уязвимость функции icmp_tag_validation() ядра операционных систем Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированных ICMP-пакетов [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) 1. Проверить, затрагивает ли уязвимость систему, можно, используя полномочия администратора системы с высоким уровнем целостности. Для этого выполните команду: ``` sudo sysctl net.ipv4.ip_no_pmtu_disc ``` Если параметр net.ipv4.ip_no_pmtu_disc имеет значения 0, 1 или 2, то система не уязвима. В конфигурации по умолчанию параметр net.ipv4.ip_no_pmtu_disc имеет значение 0. 2. Если параметр net.ipv4.ip_no_pmtu_disc имеет значение 3, то для временного решения (до перезагрузки) выполните команду: ``` sudo sysctl -w net.ipv4.ip_no_pmtu_disc=0 ``` 3. Для применения настройки на постоянной основе откройте файл /etc/sysctl.conf: ``` sudo nano /etc/sysctl.conf ``` Найдите строку, начинающуюся на net.ipv4.ip_no_pmtu_disc, и измените значение параметра на 0: ``` net.ipv4.ip_no_pmtu_disc = 0 ``` Если строки с net.ipv4.ip_no_pmtu_disc в файле нет, то в конец файла добавьте её со значением 0. 4. Перезагрузите систему. 5. Проверьте внесённые изменения командой: ``` sudo sysctl net.ipv4.ip_no_pmtu_disc ``` Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix memory leak in verify_header The function sets `*ns = NULL` on every call, leaking the namespace string allocated in previous iterations when multiple profiles are unpacked. This also breaks namespace consistency checking since *ns is always NULL when the comparison is made. Remove the incorrect assignment. The caller (aa_unpack) initializes *ns to NULL once before the loop, which is sufficient. Уязвимость компонента apparmor ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: replace recursive profile removal with iterative approach The profile removal code uses recursion when removing nested profiles, which can lead to kernel stack exhaustion and system crashes. Reproducer: $ pf='a'; for ((i=0; i<1024; i++)); do echo -e "profile $pf { \n }" | apparmor_parser -K -a; pf="$pf//x"; done $ echo -n a > /sys/kernel/security/apparmor/.remove Replace the recursive __aa_profile_list_release() approach with an iterative approach in __remove_profile(). The function repeatedly finds and removes leaf profiles until the entire subtree is removed, maintaining the same removal semantic without recursion. Уязвимость компонента apparmor ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix: limit the number of levels of policy namespaces Currently the number of policy namespaces is not bounded relying on the user namespace limit. However policy namespaces aren't strictly tied to user namespaces and it is possible to create them and nest them arbitrarily deep which can be used to exhaust system resource. Hard cap policy namespaces to the same depth as user namespaces. Уязвимость компонента apparmor ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix side-effect bug in match_char() macro usage The match_char() macro evaluates its character parameter multiple times when traversing differential encoding chains. When invoked with *str++, the string pointer advances on each iteration of the inner do-while loop, causing the DFA to check different characters at each iteration and therefore skip input characters. This results in out-of-bounds reads when the pointer advances past the input buffer boundary. [ 94.984676] ================================================================== [ 94.985301] BUG: KASAN: slab-out-of-bounds in aa_dfa_match+0x5ae/0x760 [ 94.985655] Read of size 1 at addr ffff888100342000 by task file/976 [ 94.986319] CPU: 7 UID: 1000 PID: 976 Comm: file Not tainted 6.19.0-rc7-next-20260127 #1 PREEMPT(lazy) [ 94.986322] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 94.986329] Call Trace: [ 94.986341] <TASK> [ 94.986347] dump_stack_lvl+0x5e/0x80 [ 94.986374] print_report+0xc8/0x270 [ 94.986384] ? aa_dfa_match+0x5ae/0x760 [ 94.986388] kasan_report+0x118/0x150 [ 94.986401] ? aa_dfa_match+0x5ae/0x760 [ 94.986405] aa_dfa_match+0x5ae/0x760 [ 94.986408] __aa_path_perm+0x131/0x400 [ 94.986418] aa_path_perm+0x219/0x2f0 [ 94.986424] apparmor_file_open+0x345/0x570 [ 94.986431] security_file_open+0x5c/0x140 [ 94.986442] do_dentry_open+0x2f6/0x1120 [ 94.986450] vfs_open+0x38/0x2b0 [ 94.986453] ? may_open+0x1e2/0x2b0 [ 94.986466] path_openat+0x231b/0x2b30 [ 94.986469] ? __x64_sys_openat+0xf8/0x130 [ 94.986477] do_file_open+0x19d/0x360 [ 94.986487] do_sys_openat2+0x98/0x100 [ 94.986491] __x64_sys_openat+0xf8/0x130 [ 94.986499] do_syscall_64+0x8e/0x660 [ 94.986515] ? count_memcg_events+0x15f/0x3c0 [ 94.986526] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986540] ? handle_mm_fault+0x1639/0x1ef0 [ 94.986551] ? vma_start_read+0xf0/0x320 [ 94.986558] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986561] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986563] ? fpregs_assert_state_consistent+0x50/0xe0 [ 94.986572] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986574] ? arch_exit_to_user_mode_prepare+0x9/0xb0 [ 94.986587] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986588] ? irqentry_exit+0x3c/0x590 [ 94.986595] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 94.986597] RIP: 0033:0x7fda4a79c3ea Fix by extracting the character value before invoking match_char, ensuring single evaluation per outer loop. Уязвимость компонента apparmor ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix missing bounds check on DEFAULT table in verify_dfa() The verify_dfa() function only checks DEFAULT_TABLE bounds when the state is not differentially encoded. When the verification loop traverses the differential encoding chain, it reads k = DEFAULT_TABLE[j] and uses k as an array index without validation. A malformed DFA with DEFAULT_TABLE[j] >= state_count, therefore, causes both out-of-bounds reads and writes. [ 57.179855] ================================================================== [ 57.180549] BUG: KASAN: slab-out-of-bounds in verify_dfa+0x59a/0x660 [ 57.180904] Read of size 4 at addr ffff888100eadec4 by task su/993 [ 57.181554] CPU: 1 UID: 0 PID: 993 Comm: su Not tainted 6.19.0-rc7-next-20260127 #1 PREEMPT(lazy) [ 57.181558] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 57.181563] Call Trace: [ 57.181572] <TASK> [ 57.181577] dump_stack_lvl+0x5e/0x80 [ 57.181596] print_report+0xc8/0x270 [ 57.181605] ? verify_dfa+0x59a/0x660 [ 57.181608] kasan_report+0x118/0x150 [ 57.181620] ? verify_dfa+0x59a/0x660 [ 57.181623] verify_dfa+0x59a/0x660 [ 57.181627] aa_dfa_unpack+0x1610/0x1740 [ 57.181629] ? __kmalloc_cache_noprof+0x1d0/0x470 [ 57.181640] unpack_pdb+0x86d/0x46b0 [ 57.181647] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181653] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181656] ? aa_unpack_nameX+0x1a8/0x300 [ 57.181659] aa_unpack+0x20b0/0x4c30 [ 57.181662] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181664] ? stack_depot_save_flags+0x33/0x700 [ 57.181681] ? kasan_save_track+0x4f/0x80 [ 57.181683] ? kasan_save_track+0x3e/0x80 [ 57.181686] ? __kasan_kmalloc+0x93/0xb0 [ 57.181688] ? __kvmalloc_node_noprof+0x44a/0x780 [ 57.181693] ? aa_simple_write_to_buffer+0x54/0x130 [ 57.181697] ? policy_update+0x154/0x330 [ 57.181704] aa_replace_profiles+0x15a/0x1dd0 [ 57.181707] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181710] ? __kvmalloc_node_noprof+0x44a/0x780 [ 57.181712] ? aa_loaddata_alloc+0x77/0x140 [ 57.181715] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181717] ? _copy_from_user+0x2a/0x70 [ 57.181730] policy_update+0x17a/0x330 [ 57.181733] profile_replace+0x153/0x1a0 [ 57.181735] ? rw_verify_area+0x93/0x2d0 [ 57.181740] vfs_write+0x235/0xab0 [ 57.181745] ksys_write+0xb0/0x170 [ 57.181748] do_syscall_64+0x8e/0x660 [ 57.181762] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 57.181765] RIP: 0033:0x7f6192792eb2 Remove the MATCH_FLAG_DIFF_ENCODE condition to validate all DEFAULT_TABLE entries unconditionally. Уязвимость функции verify_dfa() ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: Fix double free of ns_name in aa_replace_profiles() if ns_name is NULL after 1071 error = aa_unpack(udata, &lh, &ns_name); and if ent->ns_name contains an ns_name in 1089 } else if (ent->ns_name) { then ns_name is assigned the ent->ns_name 1095 ns_name = ent->ns_name; however ent->ns_name is freed at 1262 aa_load_ent_free(ent); and then again when freeing ns_name at 1270 kfree(ns_name); Fix this by NULLing out ent->ns_name after it is transferred to ns_name ") Уязвимость компонента apparmor ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix differential encoding verification Differential encoding allows loops to be created if it is abused. To prevent this the unpack should verify that a diff-encode chain terminates. Unfortunately the differential encode verification had two bugs. 1. it conflated states that had gone through check and already been marked, with states that were currently being checked and marked. This means that loops in the current chain being verified are treated as a chain that has already been verified. 2. the order bailout on already checked states compared current chain check iterators j,k instead of using the outer loop iterator i. Meaning a step backwards in states in the current chain verification was being mistaken for moving to an already verified state. Move to a double mark scheme where already verified states get a different mark, than the current chain being kept. This enables us to also drop the backwards verification check that was the cause of the second error as any already verified state is already marked. Уязвимость модуля безопасности ядра AppArmor операционной системы Linux связана с ошибками кодирования. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix race on rawdata dereference There is a race condition that leads to a use-after-free situation: because the rawdata inodes are not refcounted, an attacker can start open()ing one of the rawdata files, and at the same time remove the last reference to this rawdata (by removing the corresponding profile, for example), which frees its struct aa_loaddata; as a result, when seq_rawdata_open() is reached, i_private is a dangling pointer and freed memory is accessed. The rawdata inodes weren't refcounted to avoid a circular refcount and were supposed to be held by the profile rawdata reference. However during profile removal there is a window where the vfs and profile destruction race, resulting in the use after free. Fix this by moving to a double refcount scheme. Where the profile refcount on rawdata is used to break the circular dependency. Allowing for freeing of the rawdata once all inode references to the rawdata are put. Уязвимость модуля безопасности ядра AppArmor операционной системы Linux вызвана ситуацией гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix race between freeing data and fs accessing it AppArmor was putting the reference to i_private data on its end after removing the original entry from the file system. However the inode can aand does live beyond that point and it is possible that some of the fs call back functions will be invoked after the reference has been put, which results in a race between freeing the data and accessing it through the fs. While the rawdata/loaddata is the most likely candidate to fail the race, as it has the fewest references. If properly crafted it might be possible to trigger a race for the other types stored in i_private. Fix this by moving the put of i_private referenced data to the correct place which is during inode eviction. Уязвимость модуля безопасности ядра AppArmor операционной системы Linux вызвана состоянием гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 pyasn1 pyasn1 is a generic ASN.1 library for Python. Prior to 0.6.2, a Denial-of-Service issue has been found that leads to memory exhaustion from malformed RELATIVE-OID with excessive continuation octets. This vulnerability is fixed in 0.6.2. Уязвимость реализации кодеков ASN.1 Pyasn1 связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) pyasn1: - Использовать ПО pyasn1 только на низком или отдельно выделенном уровне целостности - При использовании ПО pyasn1 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска pyasn1 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-pyasn1-modules: - Использовать ПО python-pyasn1-modules только на низком или отдельно выделенном уровне целостности - При использовании ПО python-pyasn1-modules выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-pyasn1-modules только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 alsa-lib alsa-lib versions 1.2.2 up to and including 1.2.15.2, prior to commit 5f7fe33, contain a heap-based buffer overflow in the topology mixer control decoder. The tplg_decode_control_mixer1() function reads the num_channels field from untrusted .tplg data and uses it as a loop bound without validating it against the fixed-size channel array (SND_TPLG_MAX_CHAN). A crafted topology file with an excessive num_channels value can cause out-of-bounds heap writes, leading to a crash. Уязвимость функции tplg_decode_control_mixer1 библиотеки для взаимодействия со звуковыми драйверами ядра связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-129')] None None Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to 1.6.55, an out-of-bounds read vulnerability exists in the png_set_quantize() API function. When the function is called with no histogram and the number of colors in the palette is more than twice the maximum supported by the user's display, certain palettes will cause the function to enter into an infinite loop that reads past the end of an internal heap-allocated buffer. The images that trigger this vulnerability are valid per the PNG specification. This vulnerability is fixed in 1.6.55. Уязвимость функции png_set_quantize() библиотеки для работы с растровой графикой в формате PNG libpng связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код при помощи специально сформированного PNG-файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) 1. При использовании библиотеки libpng отказаться от вызовов уязвимой функции png_set_quantize 2. Выполнять обработку PNG-файлов, полученных только из доверенных источников 3. Включить и настроить межсетевой экран ufw для фильтрации трафика Astra Linux 3.8 python-cryptography cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. Prior to 46.0.5, the public_key_from_numbers (or EllipticCurvePublicNumbers.public_key()), EllipticCurvePublicNumbers.public_key(), load_der_public_key() and load_pem_public_key() functions do not verify that the point belongs to the expected prime-order subgroup of the curve. This missing validation allows an attacker to provide a public key point P from a small-order subgroup. This can lead to security issues in various situations, such as the most commonly used signature verification (ECDSA) and shared key negotiation (ECDH). When the victim computes the shared secret as S = [victim_private_key]P via ECDH, this leaks information about victim_private_key mod (small_subgroup_order). For curves with cofactor > 1, this reveals the least significant bits of the private key. When these weak public keys are used in ECDSA , it's easy to forge signatures on the small subgroup. Only SECT curves are impacted by this. This vulnerability is fixed in 46.0.5. Уязвимость функций EllipticCurvePublicNumbers.public_key(), EllipticCurvePublicNumbers.public_key(), load_der_public_key() и load_pem_public_key() криптографической библиотеки Python-cryptography связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-345'), NistCWE(cwe='CWE-354')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) python-cryptography: - Использовать ПО python-cryptography только на низком или отдельно выделенном уровне целостности - При использовании ПО python-cryptography выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-cryptography только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 busybox A flaw was found in BusyBox. Incomplete path sanitization in its archive extraction utilities allows an attacker to craft malicious archives that when extracted, and under specific conditions, may write to files outside the intended directory. This can lead to arbitrary file overwrite, potentially enabling code execution through the modification of sensitive system files. Уязвимость функции strip_unsafe_prefix() набора UNIX-утилит командной строки BusyBox связана с внешним управлением именем или путем файла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-73'), NistCWE(cwe='CWE-73')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) busybox: - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 busybox A flaw was found in BusyBox. This vulnerability allows an attacker to modify files outside of the intended extraction directory by crafting a malicious tar archive containing unvalidated hardlink or symlink entries. If the tar archive is extracted with elevated privileges, this flaw can lead to privilege escalation, enabling an attacker to gain unauthorized access to critical system files. Уязвимость компонента data_extract_all.c набора UNIX-утилит командной строки BusyBox связана с внешним управлением именем или путем файла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-73'), NistCWE(cwe='CWE-73')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) busybox: - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 zlib zlib before 1.3.2 allows CPU consumption via crc32_combine64 and crc32_combine_gen64 because x2nmodp can do right shifts within a loop that has no termination condition. Уязвимость функции x2nmodp() компонента crc32.c библиотеки сжатия Zlib связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) zlib: - При использовании ПО, использующего библиотеку zlib, выполнять обработку данных, полученных только из доверенных источников - Обеспечить возможность запуска ПО, использующего библиотеку zlib, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, CUPS daemon (cupsd) contains an authorization bypass vulnerability due to case-insensitive username comparison during authorization checks. The vulnerability allows an unprivileged user to gain unauthorized access to restricted operations by using a user with a username that differs only in case from an authorized user. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:N', score=4.8) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 util-linux util-linux is a random collection of Linux utilities. Prior to version 2.41.4, a TOCTOU (Time-of-Check-Time-of-Use) vulnerability has been identified in the SUID binary /usr/bin/mount from util-linux. The mount binary, when setting up loop devices, validates the source file path with user privileges via fork() + setuid() + realpath(), but subsequently re-canonicalizes and opens it with root privileges (euid=0) without verifying that the path has not been replaced between both operations. Neither O_NOFOLLOW, nor inode comparison, nor post-open fstat() are employed. This allows a local unprivileged user to replace the source file with a symlink pointing to any root-owned file or device during the race window, causing the SUID binary to open and mount it as root. Exploitation requires an /etc/fstab entry with user,loop options whose path points to a directory where the attacker has write permission, and that /usr/bin/mount has the SUID bit set (the default configuration on virtually all Linux distributions). The impact is unauthorized read access to root-protected files and block devices, including backup images, disk volumes, and any file containing a valid filesystem. This issue has been patched in version 2.41.4. Уязвимость пакета служебных утилит командной строки Util-linux связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-59'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=4.7) util-linux: - Использовать ПО util-linux только на низком или отдельно выделенном уровне целостности - Включить ввод пароля для sudo и su - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 pyopenssl pyOpenSSL is a Python wrapper around the OpenSSL library. Starting in version 22.0.0 and prior to version 26.0.0, if a user provided callback to `set_cookie_generate_callback` returned a cookie value greater than 256 bytes, pyOpenSSL would overflow an OpenSSL provided buffer. Starting in version 26.0.0, cookie values that are too long are now rejected. Уязвимость библиотеки для доступа к функциям криптографической библиотеки OpenSSL PyOpenSSL связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 underscore Underscore.js is a utility-belt library for JavaScript. Prior to 1.13.8, the _.flatten and _.isEqual functions use recursion without a depth limit. Under very specific conditions, detailed below, an attacker could exploit this in a Denial of Service (DoS) attack by triggering a stack overflow. Untrusted input must be used to create a recursive datastructure, for example using JSON.parse, with no enforced depth limit. The datastructure thus created must be passed to _.flatten or _.isEqual. In the case of _.flatten, the vulnerability can only be exploited if it is possible for a remote client to prepare a datastructure that consists of arrays at all levels AND if no finite depth limit is passed as the second argument to _.flatten. In the case of _.isEqual, the vulnerability can only be exploited if there exists a code path in which two distinct datastructures that were submitted by the same remote client are compared using _.isEqual. For example, if a client submits data that are stored in a database, and the same client can later submit another datastructure that is then compared to the data that were saved in the database previously, OR if a client submits a single request, but its data are parsed twice, creating two non-identical but equivalent datastructures that are then compared. Exceptions originating from the call to _.flatten or _.isEqual, as a result of a stack overflow, are not being caught. This vulnerability is fixed in 1.13.8. Уязвимость функций _.flatten, _.isEqual библиотеки JavaScript для работы с массивами Underscore связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) При использовании функций _.flatten и _.isEqual библиотеки Underscore необходимо соблюдать следующие требования: - При разборе данных из ненадежных источников (JSON-запросы, файлы, формы) необходимо принудительно ограничивать уровень вложенности массивов и объектов. - Во всех вызовах функции _.flatten, где источником данных является (или может являться) ненадежный ввод, обязательно передавать второй аргумент (depth), ограничивающий глубину. - Избегать прямого сравнения потенциально глубоких структур через _.isEqual. Astra Linux 3.8 nss Integer overflow in the Libraries component in NSS. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, Thunderbird 140.8, and Firefox ESR 115.35. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) openssh: - Не подключайтесь к ненадежным серверам с помощью агента SSH; - Не используйте опцию -A при использовании команды ssh для исключения возможности перенаправления соединения агента аутентификации; - Убедитесь, что опция ForwardAgent отключена глобальных и пользовательских конфигурационных файлах SSH-клиента (/etc/ssh/ssh_config и ~/.ssh/config). Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ к SSH-серверу только для доверенных пользователей. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр AllowUsers в конфигурационные файлы SSH. Пример добавления пользователя: ` AllowUsers <username> ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Настройте разграничение по сетевым интерфейсам, сетевым адресам и именам компьютера. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр ListenAddress в конфигурационные файлы SSH. Пример конфигурации: ``` # Прослушивать на конкретном IP-адресе сервера ListenAddress 192.168.1.10 # Можно указать несколько строк ListenAddress 192.168.1.10 ListenAddress 10.0.0.5 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Для защиты ключей следует выбирать надёжный пароль доступа к клиентским файлам ключей. При формировании ключа для увеличения числа итераций хэширования можно использовать опцию "ssh-keygen -o -a <число>", что усложнит подбор пароля. Также можно сохранить ключи только на внешнем носителе, подключая его только во время соединения по SSH. - Установите небольшое время ожидания для завершения аутентификации пользователя в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ` LoginGraceTime 10s ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте количество попыток авторизации в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ``` # Ограничение на две неудачные попытки, после чего произойдёт разрыв соединения MaxAuthTries 2 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Включите аутентификацию с использованием ключей Запретите вход от имени root. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` PermitRootLogin no ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Измените стандартный порт SSH. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` Port <Новый порт SSH> ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ по IP-адресу для снижения возможности подключения к серверу с неразрешённых IP-адресов. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.allow добавьте строки вида: ``` sshd: <разрешённый IP-адрес> ``` А также, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.deny добавьте следующую строку: ``` sshd: ALL ``` libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-nss: - Использовать ПО python-nss только на низком или отдельно выделенном уровне целостности - При использовании ПО python-nss выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды nss: - Запускать ПО, использующее библиотеку NSS, только на низком или отдельно выделенном уровне целостности - При работе с ПО, которое задействует библиотеку NSS выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска ПО, использующего библиотеку NSS только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной сред Astra Linux 3.8 ruby3.1 zlib is a Ruby interface for the zlib compression/decompression library. Versions 3.0.0 and below, 3.1.0, 3.1.1, 3.2.0 and 3.2.1 contain a buffer overflow vulnerability in the Zlib::GzipReader. The zstream_buffer_ungets function prepends caller-provided bytes ahead of previously produced output but fails to guarantee the backing Ruby string has enough capacity before the memmove shifts the existing data. This can lead to memory corruption when the buffer length exceeds capacity. This issue has been fixed in versions 3.0.1, 3.1.2 and 3.2.3. Уязвимость функции zstream_buffer_ungets() библиотеки zlib связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать повреждение памяти [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 inetutils telnetd in GNU inetutils through 2.7 allows privilege escalation that can be exploited by abusing systemd service credentials support added to the login(1) implementation of util-linux in release 2.40. This is related to client control over the CREDENTIALS_DIRECTORY environment variable, and requires an unprivileged local user to create a login.noauth file. Уязвимость сервера telnetd пакета сетевых программ inetutils связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) inetutils: - Остановить и отключить сервис telnet; - Отказаться от использования ПО Telnet в пользу ПО OpenSSH; - Не экспонировать порт 23 в интернет; - Ограничить доступ к TCP/23 только доверенными подсетями; - Включить межсетевой экран ufw; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Включить режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 3.8 systemd systemd, a system and service manager, (as PID 1) hits an assert and freezes execution when an unprivileged IPC API call is made with spurious data. On version v249 and older the effect is not an assert, but stack overwriting, with the attacker controlled content. From version v250 and newer this is not possible as the safety check causes an assert instead. This IPC call was added in v239, so versions older than that are not affected. Versions 260-rc1, 259.2, 258.5, and 257.11 contain patches. No known workarounds are available. Уязвимость подсистемы инициализации и управления службами Systemd связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) systemd: - Обеспечить возможность использования только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Установить "взломостойкий" пароль python-systemd: - Использовать ПО python-systemd только на низком или отдельно выделенном уровне целостности - При использовании ПО python-systemd выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-systemd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 pyasn1 pyasn1 is a generic ASN.1 library for Python. Prior to 0.6.3, the `pyasn1` library is vulnerable to a Denial of Service (DoS) attack caused by uncontrolled recursion when decoding ASN.1 data with deeply nested structures. An attacker can supply a crafted payload containing thousands of nested `SEQUENCE` (`0x30`) or `SET` (`0x31`) tags with "Indefinite Length" (`0x80`) markers. This forces the decoder to recursively call itself until the Python interpreter crashes with a `RecursionError` or consumes all available memory (OOM), crashing the host application. This is a distinct vulnerability from CVE-2026-23490 (which addressed integer overflows in OID decoding). The fix for CVE-2026-23490 (`MAX_OID_ARC_CONTINUATION_OCTETS`) does not mitigate this recursion issue. Version 0.6.3 fixes this specific issue. Уязвимость библиотеки pyasn1 языка программирования Python связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) pyasn1: - Использовать ПО pyasn1 только на низком или отдельно выделенном уровне целостности - При использовании ПО pyasn1 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска pyasn1 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-pyasn1-modules: - Использовать ПО python-pyasn1-modules только на низком или отдельно выделенном уровне целостности - При использовании ПО python-pyasn1-modules выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-pyasn1-modules только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: atm: fix crash due to unvalidated vcc pointer in sigd_send() Reproducer available at [1]. The ATM send path (sendmsg -> vcc_sendmsg -> sigd_send) reads the vcc pointer from msg->vcc and uses it directly without any validation. This pointer comes from userspace via sendmsg() and can be arbitrarily forged: int fd = socket(AF_ATMSVC, SOCK_DGRAM, 0); ioctl(fd, ATMSIGD_CTRL); // become ATM signaling daemon struct msghdr msg = { .msg_iov = &iov, ... }; *(unsigned long *)(buf + 4) = 0xdeadbeef; // fake vcc pointer sendmsg(fd, &msg, 0); // kernel dereferences 0xdeadbeef In normal operation, the kernel sends the vcc pointer to the signaling daemon via sigd_enq() when processing operations like connect(), bind(), or listen(). The daemon is expected to return the same pointer when responding. However, a malicious daemon can send arbitrary pointer values. Fix this by introducing find_get_vcc() which validates the pointer by searching through vcc_hash (similar to how sigd_close() iterates over all VCCs), and acquires a reference via sock_hold() if found. Since struct atm_vcc embeds struct sock as its first member, they share the same lifetime. Therefore using sock_hold/sock_put is sufficient to keep the vcc alive while it is being used. Note that there may be a race with sigd_close() which could mark the vcc with various flags (e.g., ATM_VF_RELEASED) after find_get_vcc() returns. However, sock_hold() guarantees the memory remains valid, so this race only affects the logical state, not memory safety. [1]: https://gist.github.com/mrpre/1ba5949c45529c511152e2f4c755b0f3 Уязвимость компонента net/atm/signaling.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: drop logically empty buckets in mtype_del mtype_del() counts empty slots below n->pos in k, but it only drops the bucket when both n->pos and k are zero. This misses buckets whose live entries have all been removed while n->pos still points past deleted slots. Treat a bucket as empty when all positions below n->pos are unused and release it directly instead of shrinking it further. Уязвимость компонента net/netfilter/ipset ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ip_set.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ip_set в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ip_set ``` или ``` kmod list | grep ip_set ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ip_set ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ip_set /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: algif_aead - Revert to operating out-of-place This mostly reverts commit 72548b093ee3 except for the copying of the associated data. There is no benefit in operating in-place in algif_aead since the source and destination come from different mappings. Get rid of all the complexity added for in-place operation and just copy the AD directly. Уязвимость компонента algif_aead ядра операционной системы Linux связана с неправильным перемещением ресурса между областями. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-669'), NistCWE(cwe='CWE-1288')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации уязвимости CVE-2026-31431 необходимо запретить загрузку модуля algif_aead.ko в ядро системы. Чтобы проверить, загружен ли модуль algif_aead.ko в ядро системы, выполнить одну из команд: `lsmod | grep algif_aead` или `kmod list | grep algif_aead` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то выполнить действия, описанные ниже. 1. Отключить и выгрузить модуль: `sudo rmmod algif_aead` 2. Запретить загрузку модуля algif_aead.ko: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install algif_aead /bin/true` - сохранить файл; 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` 4. Выполнить перезагрузку. Если требуется разрешить загрузку модуля algif_aead.ko в ядро системы, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Нейтрализация угрозы эксплуатации уязвимости в контейнерах Чтобы устранить угрозу эксплуатации уязвимости CVE-2026-31431 необходимо запретить использование системного вызова socket(), если его первым аргументом является AF_ALG (числовой идентификатор 38). Для этого необходимо создать Seccomp-профиль — файл в формате JSON следующего содержания: ```JSON { "defaultAction": "SCMP_ACT_ALLOW", "syscalls": [ { "names": ["socket"], "action": "SCMP_ACT_ERRNO", "args": [{"index": 0, "value": 38, "op": "SCMP_CMP_EQ"}] } ] } ``` Созданный Seccomp-профиль необходимо подключать при запуске контейнера с помощью параметра: ``` --security-opt seccomp=/path/to/seccomp/profile.json ``` Пример: ``` docker run --security-opt seccomp=/etc/docker/seccomp/my-secure-profile.json astra-image ``` или ``` podman run --security-opt seccomp=/etc/docker/seccomp/my-secure-profile.json astra-image ``` **Примечание**. Podman по умолчанию использует системный Seccomp-профиль, который хранится в файле /usr/share/containers/seccomp.json. Если требуется устранить угрозу эксплуатации уязвимости для всех контейнеров, то в этом файле необходимо установить запрет на использование системного вызова socket() с аргументом AF_ALG. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. **Примечание**. Атрибут silev применяется в Astra Linux, начиная с обновления X.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость CVE-2026-31431, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: omap: do not register driver in probe() Commit 11a78b794496 ("ARM: OMAP: MPUIO wake updates") registers the omap_mpuio_driver from omap_mpuio_init(), which is called from omap_gpio_probe(). However, it neither makes sense to register drivers from probe() callbacks of other drivers, nor does the driver core allow registering drivers with a device lock already being held. The latter was revealed by commit dc23806a7c47 ("driver core: enforce device_lock for driver_match_device()") leading to a potential deadlock condition described in [1]. Additionally, the omap_mpuio_driver is never unregistered from the driver core, even if the module is unloaded. Hence, register the omap_mpuio_driver from the module initcall and unregister it in module_exit(). Уязвимость компонента drivers/gpio/gpio-omap.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 inetutils telnetd in GNU inetutils through 2.7 allows an out-of-bounds write in the LINEMODE SLC (Set Local Characters) suboption handler because add_slc does not check whether the buffer is full. Уязвимость компонента slc.c набора сетевых программ InetUtils связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) inetutils: - Остановить и отключить сервис telnet; - Отказаться от использования ПО Telnet в пользу ПО OpenSSH; - Не экспонировать порт 23 в интернет; - Ограничить доступ к TCP/23 только доверенными подсетями; - Включить межсетевой экран ufw; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Включить режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 3.8 inetutils telnet in GNU inetutils through 2.7 allows servers to read arbitrary environment variables from clients via NEW_ENVIRON SEND USERVAR. Уязвимость сервера telnetd пакета сетевых программ inetutils связана с отсутствием проверки корректности принимаемых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-669')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) inetutils: - Остановить и отключить сервис telnet; - Отказаться от использования ПО Telnet в пользу ПО OpenSSH; - Не экспонировать порт 23 в интернет; - Ограничить доступ к TCP/23 только доверенными подсетями; - Включить межсетевой экран ufw; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Включить режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. In versions 1.2.1 through 1.6.55, `png_set_tRNS` and `png_set_PLTE` each alias a heap-allocated buffer between `png_struct` and `png_info`, sharing a single allocation across two structs with independent lifetimes. The `trans_alpha` aliasing has been present since at least libpng 1.0, and the `palette` aliasing since at least 1.2.1. Both affect all prior release lines `png_set_tRNS` sets `png_ptr->trans_alpha = info_ptr->trans_alpha` (256-byte buffer) and `png_set_PLTE` sets `info_ptr->palette = png_ptr->palette` (768-byte buffer). In both cases, calling `png_free_data` (with `PNG_FREE_TRNS` or `PNG_FREE_PLTE`) frees the buffer through `info_ptr` while the corresponding `png_ptr` pointer remains dangling. Subsequent row-transform functions dereference and, in some code paths, write to the freed memory. A second call to `png_set_tRNS` or `png_set_PLTE` has the same effect, because both functions call `png_free_data` internally before reallocating the `info_ptr` buffer. Version 1.6.56 fixes the issue. Уязвимость библиотеки для работы с растровой графикой в формате PNG Libpng связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) Astra Linux 3.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. In versions 1.6.36 through 1.6.55, an out-of-bounds read and write exists in libpng's ARM/AArch64 Neon-optimized palette expansion path. When expanding 8-bit paletted rows to RGB or RGBA, the Neon loop processes a final partial chunk without verifying that enough input pixels remain. Because the implementation works backward from the end of the row, the final iteration dereferences pointers before the start of the row buffer (OOB read) and writes expanded pixel data to the same underflowed positions (OOB write). This is reachable via normal decoding of attacker-controlled PNG input if Neon is enabled. Version 1.6.56 fixes the issue. Уязвимость компонента ARM/AArch64 библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H', score=7.6) Astra Linux 3.8 xorg-server A flaw was found in the X.Org X server. This integer underflow vulnerability, specifically in the XKB compatibility map handling, allows an attacker with local or remote X11 server access to trigger a buffer read overrun. This can lead to memory-safety violations and potentially a denial of service (DoS) or other severe impacts. Уязвимость компонента xkb.c реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the X.Org X server. This out-of-bounds read vulnerability in the XKB geometry processing, specifically within the `CheckSetGeom()` and `XkbAddGeomKeyAlias` functions, allows an attacker to read uninitialized or out-of-bounds memory. An attacker with a connection to the X11 server, either locally or remotely, can exploit this without user interaction. This could lead to the disclosure of memory contents or cause a denial of service by crashing the server. Уязвимость функции XkbAddGeomKeyAlias() компонента XKB реализации протокола Wayland для X.Org XWaylan и реализации сервера X Window System X.Org Server связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L', score=6.1) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the X.Org X server. This use-after-free vulnerability occurs in the XSYNC fence triggering logic, specifically within the miSyncTriggerFence() function. An attacker with access to the X11 server can exploit this without user interaction, leading to a server crash and potentially enabling memory corruption. This could result in a denial of service or further compromise of the system. Уязвимость компонента sync/misync.c реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-825'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the X.Org X server. This vulnerability, an out-of-bounds read, affects the XKB (X Keyboard Extension) modifier map handling. An attacker with access to the X11 server can exploit this by sending a malformed request, which causes the server to read beyond its intended memory boundaries. This can lead to the exposure of sensitive information or cause the server to crash, resulting in a denial of service. Уязвимость функции CheckModifierMap() компонента XKB реализации протокола Wayland для X.Org XWaylan и реализации сервера X Window System X.Org Server связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-805')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L', score=6.1) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xorg-server A flaw was found in the X.Org X server's XKB key types request validation. A local attacker could send a specially crafted request to the X server, leading to an out-of-bounds memory access vulnerability. This could result in the disclosure of sensitive information or cause the server to crash, leading to a Denial of Service (DoS). In certain configurations, higher impact outcomes may be possible. Уязвимость компонента xkb.c реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 3.8 xz-utils XZ Utils provide a general-purpose data-compression library plus command-line tools. Prior to version 5.8.3, if lzma_index_decoder() was used to decode an Index that contained no Records, the resulting lzma_index was left in a state where where a subsequent lzma_index_append() would allocate too little memory, and a buffer overflow would occur. This issue has been patched in version 5.8.3. Уязвимость программы сжатия XZ Utils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 3.8 python3.11 DISPUTED: The project has clarified that the documentation was incorrect, and that pkgutil.get_data() has the same security model as open(). The documentation has been updated to clarify this point. There is no vulnerability in the function if following the intended security model. pkgutil.get_data() did not validate the resource argument as documented, allowing path traversals. Уязвимость интерпретатора языка программирования Python связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-22')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 openssh Vulnerability in the OpenSSH GSSAPI delta included in various Linux distributions. This vulnerability affects the GSSAPI patches added by various Linux distributions and does not affect the OpenSSH upstream project itself. The usage of sshpkt_disconnect() on an error, which does not terminate the process, allows an attacker to send an unexpected GSSAPI message type during the GSSAPI key exchange to the server, which will call the underlying function and continue the execution of the program without setting the related connection variables. As the variables are not initialized to NULL the code later accesses those uninitialized variables, accessing random memory, which could lead to undefined behavior. The recommended workaround is to use ssh_packet_disconnect() instead, which does terminate the process. The impact of the vulnerability depends heavily on the compiler flag hardening configuration. Уязвимость функции sshpkt_disconnect компонента GSSAPI средства криптографической защиты OpenSSH связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) 1. Используя полномочия администратора системы с высоким уровнем целостности проверить, включена ли опция GSSAPIKeyExchange: ``` sudo sshd -T | grep gssapikeyexchange ``` Если команда выводит `gssapikeyexchange no`, то система не уязвима. В противном случае уязвимую опцию необходимо отключить. 2. Для отключения уязвимой функции отредактируйте файл конфигурации SSH /etc/ssh/sshd_config. Найдите строку GSSAPIKeyExchange (или добавьте её, если её нет) и установите значение no: ``` sudo nano /etc/ssh/sshd_config GSSAPIKeyExchange no ``` 3. Перезапустите SSH: ``` sudo systemctl restart sshd ``` Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, the RSS notifier allows .. path traversal in notify-recipient-uri (e.g., rss:///../job.cache), letting a remote IPP client write RSS XML bytes outside CacheDir/rss (anywhere that is lp-writable). In particular, because CacheDir is group-writable by default (typically root:lp and mode 0770), the notifier (running as lp) can replace root-managed state files via temp-file + rename(). This PoC clobbers CacheDir/job.cache with RSS XML, and after restarting cupsd the scheduler fails to parse the job cache and previously queued jobs disappear. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с неверным ограничением имени пути к каталогу при обработке параметра notify-recipient-uri. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, there is a heap-based buffer overflow in the CUPS scheduler when building filter option strings from job attribute. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, in a network-exposed cupsd with a shared target queue, an unauthorized client can send a Print-Job to that shared PostScript queue without authentication. The server accepts a page-border value supplied as textWithoutLanguage, preserves an embedded newline through option escaping and reparse, and then reparses the resulting second-line PPD: text as a trusted scheduler control record. A follow-up raw print job can therefore make the server execute an attacker-chosen existing binary such as /usr/bin/vim as lp. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, a local unprivileged user can coerce cupsd into authenticating to an attacker-controlled localhost IPP service with a reusable Authorization: Local ... token. That token is enough to drive /admin/ requests on localhost, and the attacker can combine CUPS-Create-Local-Printer with printer-is-shared=true to persist a file:///... queue even though the normal FileDevice policy rejects such URIs. Printing to that queue gives an arbitrary root file overwrite; the PoC below uses that primitive to drop a sudoers fragment and demonstrate root command execution. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 sudo In Sudo through 1.9.17p2 before 3e474c2, a failure of a setuid, setgid, or setgroups call, during a privilege drop before running the mailer, is not a fatal error and can lead to privilege escalation. Уязвимость программы системного администрирования Sudo связана с ошибками управления привилегиями при обработке и проверке параметров setuid, setgid и setgroups. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-271'), NistCWE(cwe='CWE-272')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) sudo: - Используя полномочия администратора системы с высоким уровнем целостности, с помощью файла конфигурации /etc/sudoers минимизируйте необходимые разрешения для пользователей, например, определите конкретные команды, которые пользователь может выполнять; - По возможности избегайте использования NOPASSWD, то есть требуйте пароли для выполнения команд sudo для каждой сессии. - Для того, чтобы пароль не запоминался и запрашивался для каждой команды, в файл /etc/sudoers добавить строку: ``` Defaults timestamp_timeout=0 ``` - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, an integer underflow vulnerability in _ppdCreateFromIPP() (cups/ppd-cache.c) allows any unprivileged local user to crash the cupsd root process by supplying a negative job-password-supported IPP attribute. The bounds check only caps the upper bound, so a negative value passes validation, is cast to size_t (wrapping to ~2^64), and is used as the length argument to memset() on a 33-byte stack buffer. This causes an immediate SIGSEGV in the cupsd root process. Combined with systemd's Restart=on-failure, an attacker can repeat the crash for sustained denial of service. Уязвимость функции _ppdCreateFromIPP() компонента cups/ppd-cache.c сервера печати CUPS связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, a use-after-free vulnerability exists in the CUPS scheduler (cupsd) when temporary printers are automatically deleted. cupsdDeleteTemporaryPrinters() in scheduler/printers.c calls cupsdDeletePrinter() without first expiring subscriptions that reference the printer, leaving cupsd_subscription_t.dest as a dangling pointer to freed heap memory. The dangling pointer is subsequently dereferenced at multiple code sites, causing a crash (denial of service) of the cupsd daemon. With heap grooming, this can be leveraged for code execution. Уязвимость функции cupsdDeleteTemporaryPrinters() компонента scheduler/printers.c сервера печати CUPS связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 systemd In nspawn in systemd 233 through 259 before 260, an escape-to-host action can occur via a crafted optional config file. Уязвимость компонента nspawn подсистемы инициализации и управления службами Systemd связана с использованием ненадёжного источника. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-348')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) systemd: - Обеспечить возможность использования только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Установить "взломостойкий" пароль python-systemd: - Использовать ПО python-systemd только на низком или отдельно выделенном уровне целостности - При использовании ПО python-systemd выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-systemd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 exim4 In Exim before 4.99.2, when utf8 operators are enabled, there is an out-of-bounds read if large UTF-8 trailing characters are present (malformed UTF-8 header data). Information might be divulged within an error message produced during handling of an unrelated e-mail message. Уязвимость почтового сервера Exim связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.7) exim4: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 exim4 In Exim before 4.99.2, when the SPA authentication driver is used with an adversarial SPA resource, there can be an out-of-bounds write that crashes the connection instance, or erroneous data processing that divulges data from uninitialized heap memory. Уязвимость почтового сервера Exim связана с отсутствием инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.8) exim4: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 3.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to 2.4.17, a network-adjacent attacker can send a crafted SNMP response to the CUPS SNMP backend that causes an out-of-bounds read of up to 176 bytes past a stack buffer. The leaked memory is converted from UTF-16 to UTF-8 and stored as printer supply description strings, which are subsequently visible to authenticated users via IPP Get-Printer-Attributes responses and the CUPS web interface. This vulnerability is fixed in 2.4.17. Уязвимость функции asn1_decode_snmp() сервера печати CUPS связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.3) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 3.8 libarchive A flaw was identified in the RAR5 archive decompression logic of the libarchive library, specifically within the archive_read_data() processing path. When a specially crafted RAR5 archive is processed, the decompression routine may enter a state where internal logic prevents forward progress. This condition results in an infinite loop that continuously consumes CPU resources. Because the archive passes checksum validation and appears structurally valid, affected applications cannot detect the issue before processing. This can allow attackers to cause persistent denial-of-service conditions in services that automatically process archives. Уязвимость библиотеки архивирования Libarchive связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 3.8 lcms2 Little CMS (lcms2) through 2.18 has an integer overflow in CubeSize in cmslut.c because the overflow check is performed after the multiplication. Уязвимость функции CubeSize() компонента cmslut.c библиотеки управления цветом Little CMS связана с выполнением действий в неправильном порядке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-696'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.0) - При использовании ПО lcms2 выполнять обработку данных, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 packagekit PackageKit is a a D-Bus abstraction layer that allows the user to manage packages in a secure way using a cross-distro, cross-architecture API. PackageKit between and including versions 1.0.2 and 1.3.4 is vulnerable to a time-of-check time-of-use (TOCTOU) race condition on transaction flags that allows unprivileged users to install packages as root and thus leads to a local privilege escalation. This is patched in version 1.3.5. A local unprivileged user can install arbitrary RPM packages as root, including executing RPM scriptlets, without authentication. The vulnerability is a TOCTOU race condition on `transaction->cached_transaction_flags` combined with a silent state-machine guard that discards illegal backward transitions while leaving corrupted flags in place. Three bugs exist in `src/pk-transaction.c`: 1. Unconditional flag overwrite (line 4036): `InstallFiles()` writes caller-supplied flags to `transaction->cached_transaction_flags` without checking whether the transaction has already been authorized/started. A second call blindly overwrites the flags even while the transaction is RUNNING. 2. Silent state-transition rejection (lines 873–882): `pk_transaction_set_state()` silently discards backward state transitions (e.g. `RUNNING` → `WAITING_FOR_AUTH`) but the flag overwrite at step 1 already happened. The transaction continues running with corrupted flags. 3. Late flag read at execution time (lines 2273–2277): The scheduler's idle callback reads cached_transaction_flags at dispatch time, not at authorization time. If flags were overwritten between authorization and execution, the backend sees the attacker's flags. Уязвимость компонента src/pk-transaction.c пакетного менеджера PackageKit связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости запретите запуск службы packagekit. Для этого необходимо выполнить следующие команды: ```bash sudo systemctl stop packagekit.service sudo systemctl mask packagekit.service``` Astra Linux 3.8 python3.11 When an Expat parser with a registered ElementDeclHandler parses an inline document type definition containing a deeply nested content model a C stack overflow occurs. Уязвимость функции conv_content_model() компонента pyexpat.c интерпретатора языка программирования Python связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: eventpoll: defer struct eventpoll free to RCU grace period In certain situations, ep_free() in eventpoll.c will kfree the epi->ep eventpoll struct while it still being used by another concurrent thread. Defer the kfree() to an RCU callback to prevent UAF. Уязвимость функции ep_free() компонента eventpoll.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для нейтрализации угрозы эксплуатации уязвимости CVE-2026-43074 нужно включить параметр dmesg_restrict: ``` echo "kernel.dmesg_restrict = 1" | sudo tee -a /etc/sysctl.conf ``` Перезагрузите систему. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbcon: check return value of con2fb_acquire_newinfo() If fbcon_open() fails when called from con2fb_acquire_newinfo() then info->fbcon_par pointer remains NULL which is later dereferenced. Add check for return value of the function con2fb_acquire_newinfo() to avoid it. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drivers/video/fbdev/core/fbcon.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pstore: ram_core: fix incorrect success return when vmap() fails In persistent_ram_vmap(), vmap() may return NULL on failure. If offset is non-zero, adding offset_in_page(start) causes the function to return a non-NULL pointer even though the mapping failed. persistent_ram_buffer_map() therefore incorrectly returns success. Subsequent access to prz->buffer may dereference an invalid address and cause crashes. Add proper NULL checking for vmap() failures. Уязвимость компонента fs/pstore/ram_core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/umem: Fix double dma_buf_unpin in failure path In ib_umem_dmabuf_get_pinned_with_dma_device(), the call to ib_umem_dmabuf_map_pages() can fail. If this occurs, the dmabuf is immediately unpinned but the umem_dmabuf->pinned flag is still set. Then, when ib_umem_release() is called, it calls ib_umem_dmabuf_revoke() which will call dma_buf_unpin() again. Fix this by removing the immediate unpin upon failure and just let the ib_umem_release/revoke path handle it. This also ensures the proper unmap-unpin unwind ordering if the dmabuf_map_pages call happened to fail due to dma_resv_wait_timeout (and therefore has a non-NULL umem_dmabuf->sgt). Уязвимость компонента drivers/infiniband/core/umem_dmabuf.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Flush dev-IOTLB only when PCIe device is accessible in scalable mode Commit 4fc82cd907ac ("iommu/vt-d: Don't issue ATS Invalidation request when device is disconnected") relies on pci_dev_is_disconnected() to skip ATS invalidation for safely-removed devices, but it does not cover link-down caused by faults, which can still hard-lock the system. For example, if a VM fails to connect to the PCIe device, "virsh destroy" is executed to release resources and isolate the fault, but a hard-lockup occurs while releasing the group fd. Call Trace: qi_submit_sync qi_flush_dev_iotlb intel_pasid_tear_down_entry device_block_translation blocking_domain_attach_dev __iommu_attach_device __iommu_device_set_domain __iommu_group_set_domain_internal iommu_detach_group vfio_iommu_type1_detach_group vfio_group_detach_container vfio_group_fops_release __fput Although pci_device_is_present() is slower than pci_dev_is_disconnected(), it still takes only ~70 µs on a ConnectX-5 (8 GT/s, x2) and becomes even faster as PCIe speed and width increase. Besides, devtlb_invalidation_with_pasid() is called only in the paths below, which are far less frequent than memory map/unmap. 1. mm-struct release 2. {attach,release}_dev 3. set/remove PASID 4. dirty-tracking setup The gain in system stability far outweighs the negligible cost of using pci_device_is_present() instead of pci_dev_is_disconnected() to decide when to skip ATS invalidation, especially under GDR high-load conditions. Уязвимость компонента drivers/iommu/intel/pasid.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm-verity: correctly handle dm_bufio_client_create() failure If either of the calls to dm_bufio_client_create() in verity_fec_ctr() fails, then dm_bufio_client_destroy() is later called with an ERR_PTR() argument. That causes a crash. Fix this. Уязвимость компонента drivers/md/dm-verity-fec.c ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: nSVM: Always use vmcb01 in VMLOAD/VMSAVE emulation Commit cc3ed80ae69f ("KVM: nSVM: always use vmcb01 to for vmsave/vmload of guest state") made KVM always use vmcb01 for the fields controlled by VMSAVE/VMLOAD, but it missed updating the VMLOAD/VMSAVE emulation code to always use vmcb01. As a result, if VMSAVE/VMLOAD is executed by an L2 guest and is not intercepted by L1, KVM will mistakenly use vmcb02. Always use vmcb01 instead of the current VMCB. Уязвимость компонента arch/x86/kvm/svm/svm.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-628')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.9) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: Fix missing key size check for L2CAP_LE_CONN_REQ This adds a check for encryption key size upon receiving L2CAP_LE_CONN_REQ which is required by L2CAP/LE/CFC/BV-15-C which expects L2CAP_CR_LE_BAD_KEY_SIZE. Уязвимость компонента net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=8.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: cx23885: Add missing unmap in snd_cx23885_hw_params() In error path, add cx23885_alsa_dma_unmap() to release the resource acquired by cx23885_alsa_dma_map(). Уязвимость компонента drivers/media/pci/cx23885/cx23885-alsa.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: logitech-hidpp: Check maxfield in hidpp_get_report_length() Do not crash when a report has no fields. Fake USB gadgets can send their own HID report descriptors and can define report structures without valid fields. This can be used to crash the kernel over USB. Уязвимость компонента drivers/hid/hid-logitech-hidpp.c ядра операционной системы Linux связана с некорректной обработкой отсутствующего специального элемента. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm6: fix uninitialized saddr in xfrm6_get_saddr() xfrm6_get_saddr() does not check the return value of ipv6_dev_get_saddr(). When ipv6_dev_get_saddr() fails to find a suitable source address (returns -EADDRNOTAVAIL), saddr->in6 is left uninitialized, but xfrm6_get_saddr() still returns 0 (success). This causes the caller xfrm_tmpl_resolve_one() to use the uninitialized address in xfrm_state_find(), triggering KMSAN warning: ===================================================== BUG: KMSAN: uninit-value in xfrm_state_find+0x2424/0xa940 xfrm_state_find+0x2424/0xa940 xfrm_resolve_and_create_bundle+0x906/0x5a20 xfrm_lookup_with_ifid+0xcc0/0x3770 xfrm_lookup_route+0x63/0x2b0 ip_route_output_flow+0x1ce/0x270 udp_sendmsg+0x2ce1/0x3400 inet_sendmsg+0x1ef/0x2a0 __sock_sendmsg+0x278/0x3d0 __sys_sendto+0x593/0x720 __x64_sys_sendto+0x130/0x200 x64_sys_call+0x332b/0x3e70 do_syscall_64+0xd3/0xf80 entry_SYSCALL_64_after_hwframe+0x77/0x7f Local variable tmp.i.i created at: xfrm_resolve_and_create_bundle+0x3e3/0x5a20 xfrm_lookup_with_ifid+0xcc0/0x3770 ===================================================== Fix by checking the return value of ipv6_dev_get_saddr() and propagating the error. Уязвимость компонента net/ipv6/xfrm6_policy.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: magicmouse: Do not crash on missing msc->input Fake USB devices can send their own report descriptors for which the input_mapping() hook does not get called. In this case, msc->input stays NULL, leading to a crash at a later time. Detect this condition in the input_configured() hook and reject the device. This is not supposed to happen with actual magic mouse devices, but can be provoked by imposing as a magic mouse USB device. Уязвимость компонента drivers/hid/hid-magicmouse.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntb: ntb_hw_switchtec: Fix shift-out-of-bounds for 0 mw lut Number of MW LUTs depends on NTB configuration and can be set to zero, in such scenario rounddown_pow_of_two will cause undefined behaviour and should not be performed. This patch ensures that rounddown_pow_of_two is called on valid value. Уязвимость компонента drivers/ntb/hw/mscc/ntb_hw_switchtec.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mfd: core: Add locking around 'mfd_of_node_list' Manipulating a list in the kernel isn't safe without some sort of mutual exclusion. Add a mutex any time we access / modify 'mfd_of_node_list' to prevent possible crashes. Уязвимость компонента drivers/mfd/mfd-core.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: imx_rproc: Fix invalid loaded resource table detection imx_rproc_elf_find_loaded_rsc_table() may incorrectly report a loaded resource table even when the current firmware does not provide one. When the device tree contains a "rsc-table" entry, priv->rsc_table is non-NULL and denotes where a resource table would be located if one is present in memory. However, when the current firmware has no resource table, rproc->table_ptr is NULL. The function still returns priv->rsc_table, and the remoteproc core interprets this as a valid loaded resource table. Fix this by returning NULL from imx_rproc_elf_find_loaded_rsc_table() when there is no resource table for the current firmware (i.e. when rproc->table_ptr is NULL). This aligns the function's semantics with the remoteproc core: a loaded resource table is only reported when a valid table_ptr exists. With this change, starting firmware without a resource table no longer triggers a crash. Уязвимость компонента drivers/remoteproc/imx_rproc.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "PCI/IOV: Add PCI rescan-remove locking when enabling/disabling SR-IOV" This reverts commit 05703271c3cd ("PCI/IOV: Add PCI rescan-remove locking when enabling/disabling SR-IOV"), which causes a deadlock by recursively taking pci_rescan_remove_lock when sriov_del_vfs() is called as part of pci_stop_and_remove_bus_device(). For example with the following sequence of commands: $ echo <NUM> > /sys/bus/pci/devices/<pf>/sriov_numvfs $ echo 1 > /sys/bus/pci/devices/<pf>/remove A trimmed trace of the deadlock on a mlx5 device is as below: zsh/5715 is trying to acquire lock: 000002597926ef50 (pci_rescan_remove_lock){+.+.}-{3:3}, at: sriov_disable+0x34/0x140 but task is already holding lock: 000002597926ef50 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_stop_and_remove_bus_device_locked+0x24/0x80 ... Call Trace: [<00000259778c4f90>] dump_stack_lvl+0xc0/0x110 [<00000259779c844e>] print_deadlock_bug+0x31e/0x330 [<00000259779c1908>] __lock_acquire+0x16c8/0x32f0 [<00000259779bffac>] lock_acquire+0x14c/0x350 [<00000259789643a6>] __mutex_lock_common+0xe6/0x1520 [<000002597896413c>] mutex_lock_nested+0x3c/0x50 [<00000259784a07e4>] sriov_disable+0x34/0x140 [<00000258f7d6dd80>] mlx5_sriov_disable+0x50/0x80 [mlx5_core] [<00000258f7d5745e>] remove_one+0x5e/0xf0 [mlx5_core] [<00000259784857fc>] pci_device_remove+0x3c/0xa0 [<000002597851012e>] device_release_driver_internal+0x18e/0x280 [<000002597847ae22>] pci_stop_bus_device+0x82/0xa0 [<000002597847afce>] pci_stop_and_remove_bus_device_locked+0x5e/0x80 [<00000259784972c2>] remove_store+0x72/0x90 [<0000025977e6661a>] kernfs_fop_write_iter+0x15a/0x200 [<0000025977d7241c>] vfs_write+0x24c/0x300 [<0000025977d72696>] ksys_write+0x86/0x110 [<000002597895b61c>] __do_syscall+0x14c/0x400 [<000002597896e0ee>] system_call+0x6e/0x90 This alone is not a complete fix as it restores the issue the cited commit tried to solve. A new fix will be provided as a follow on. Уязвимость компонента drivers/pci/iov.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/smp: Add check for kcalloc() failure in parse_thread_groups() As kcalloc() may fail, check its return value to avoid a NULL pointer dereference when passing it to of_property_read_u32_array(). Уязвимость компонента arch/powerpc/kernel/smp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wan/fsl_ucc_hdlc: Fix dma_free_coherent() in uhdlc_memclean() The priv->rx_buffer and priv->tx_buffer are alloc'd together as contiguous buffers in uhdlc_init() but freed as two buffers in uhdlc_memclean(). Change the cleanup to only call dma_free_coherent() once on the whole buffer. Уязвимость компонента drivers/net/wan/fsl_ucc_hdlc.c ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/arm-cmn: Reject unsupported hardware configurations So far we've been fairly lax about accepting both unknown CMN models (at least with a warning), and unknown revisions of those which we do know, as although things do frequently change between releases, typically enough remains the same to be somewhat useful for at least some basic bringup checks. However, we also make assumptions of the maximum supported sizes and numbers of things in various places, and there's no guarantee that something new might not be bigger and lead to nasty array overflows. Make sure we only try to run on things that actually match our assumptions and so will not risk memory corruption. We have at least always failed on completely unknown node types, so update that error message for clarity and consistency too. Уязвимость компонента drivers/perf/arm-cmn.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: hid-pl: handle probe errors Errors in init must be reported back or we'll follow a NULL pointer the first time FF is used. Уязвимость компонента drivers/hid/hid-pl.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: pegasus: enable basic endpoint checking pegasus_probe() fills URBs with hardcoded endpoint pipes without verifying the endpoint descriptors: - usb_rcvbulkpipe(dev, 1) for RX data - usb_sndbulkpipe(dev, 2) for TX data - usb_rcvintpipe(dev, 3) for status interrupts A malformed USB device can present these endpoints with transfer types that differ from what the driver assumes. Add a pegasus_usb_ep enum for endpoint numbers, replacing magic constants throughout. Add usb_check_bulk_endpoints() and usb_check_int_endpoints() calls before any resource allocation to verify endpoint types before use, rejecting devices with mismatched descriptors at probe time, and avoid triggering assertion. Similar fix to - commit 90b7f2961798 ("net: usb: rtl8150: enable basic endpoint checking") - commit 9e7021d2aeae ("net: usb: catc: enable basic endpoint checking") Уязвимость компонента drivers/net/usb/pegasus.c ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: CGX: fix bitmap leaks The RX/TX flow-control bitmaps (rx_fc_pfvf_bmap and tx_fc_pfvf_bmap) are allocated by cgx_lmac_init() but never freed in cgx_lmac_exit(). Unbinding and rebinding the driver therefore triggers kmemleak: unreferenced object (size 16): backtrace: rvu_alloc_bitmap cgx_probe Free both bitmaps during teardown. Уязвимость компонента drivers/net/ethernet/marvell/octeontx2/af/cgx.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: fix freemap adjustments when adding xattrs to leaf blocks xfs/592 and xfs/794 both trip this assertion in the leaf block freemap adjustment code after ~20 minutes of running on my test VMs: ASSERT(ichdr->firstused >= ichdr->count * sizeof(xfs_attr_leaf_entry_t) + xfs_attr3_leaf_hdr_size(leaf)); Upon enabling quite a lot more debugging code, I narrowed this down to fsstress trying to set a local extended attribute with namelen=3 and valuelen=71. This results in an entry size of 80 bytes. At the start of xfs_attr3_leaf_add_work, the freemap looks like this: i 0 base 448 size 0 rhs 448 count 46 i 1 base 388 size 132 rhs 448 count 46 i 2 base 2120 size 4 rhs 448 count 46 firstused = 520 where "rhs" is the first byte past the end of the leaf entry array. This is inconsistent -- the entries array ends at byte 448, but freemap[1] says there's free space starting at byte 388! By the end of the function, the freemap is in worse shape: i 0 base 456 size 0 rhs 456 count 47 i 1 base 388 size 52 rhs 456 count 47 i 2 base 2120 size 4 rhs 456 count 47 firstused = 440 Important note: 388 is not aligned with the entries array element size of 8 bytes. Based on the incorrect freemap, the name area starts at byte 440, which is below the end of the entries array! That's why the assertion triggers and the filesystem shuts down. How did we end up here? First, recall from the previous patch that the freemap array in an xattr leaf block is not intended to be a comprehensive map of all free space in the leaf block. In other words, it's perfectly legal to have a leaf block with: * 376 bytes in use by the entries array * freemap[0] has [base = 376, size = 8] * freemap[1] has [base = 388, size = 1500] * the space between 376 and 388 is free, but the freemap stopped tracking that some time ago If we add one xattr, the entries array grows to 384 bytes, and freemap[0] becomes [base = 384, size = 0]. So far, so good. But if we add a second xattr, the entries array grows to 392 bytes, and freemap[0] gets pushed up to [base = 392, size = 0]. This is bad, because freemap[1] hasn't been updated, and now the entries array and the free space claim the same space. The fix here is to adjust all freemap entries so that none of them collide with the entries array. Note that this fix relies on commit 2a2b5932db6758 ("xfs: fix attr leaf header freemap.size underflow") and the previous patch that resets zero length freemap entries to have base = 0. Уязвимость компонента fs/xfs/libxfs/xfs_attr_leaf.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix null dereference in find_network The variable pwlan has the possibility of being NULL when passed into rtw_free_network_nolock() which would later dereference the variable. Уязвимость компонента drivers/staging/rtl8723bs/core/rtw_mlme.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md/bitmap: fix GPF in write_page caused by resize race A General Protection Fault occurs in write_page() during array resize: RIP: 0010:write_page+0x22b/0x3c0 [md_mod] This is a use-after-free race between bitmap_daemon_work() and __bitmap_resize(). The daemon iterates over `bitmap->storage.filemap` without locking, while the resize path frees that storage via md_bitmap_file_unmap(). `quiesce()` does not stop the md thread, allowing concurrent access to freed pages. Fix by holding `mddev->bitmap_info.mutex` during the bitmap update. Уязвимость компонента drivers/md/md-bitmap.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix reflink preserve cleanup issue commit c06c303832ec ("ocfs2: fix xattr array entry __counted_by error") doesn't handle all cases and the cleanup job for preserved xattr entries still has bug: - the 'last' pointer should be shifted by one unit after cleanup an array entry. - current code logic doesn't cleanup the first entry when xh_count is 1. Note, commit c06c303832ec is also a bug fix for 0fe9b66c65f3. Уязвимость компонента fs/ocfs2/xattr.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: EFI/CPER: don't dump the entire memory region The current logic at cper_print_fw_err() doesn't check if the error record length is big enough to handle offset. On a bad firmware, if the ofset is above the actual record, length -= offset will underflow, making it dump the entire memory. The end result can be: - the logic taking a lot of time dumping large regions of memory; - data disclosure due to the memory dumps; - an OOPS, if it tries to dump an unmapped memory region. Fix it by checking if the section length is too small before doing a hex dump. [ rjw: Subject tweaks ] Уязвимость компонента drivers/firmware/efi/cper.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: xscale: Check for PTP support properly In ixp4xx_get_ts_info() ixp46x_ptp_find() is called unconditionally despite this feature only existing on ixp46x, leading to the following splat from tcpdump: root@OpenWrt:~# tcpdump -vv -X -i eth0 (...) Unable to handle kernel NULL pointer dereference at virtual address 00000238 when read (...) Call trace: ptp_clock_index from ixp46x_ptp_find+0x1c/0x38 ixp46x_ptp_find from ixp4xx_get_ts_info+0x4c/0x64 ixp4xx_get_ts_info from __ethtool_get_ts_info+0x90/0x108 __ethtool_get_ts_info from __dev_ethtool+0xa00/0x2648 __dev_ethtool from dev_ethtool+0x160/0x234 dev_ethtool from dev_ioctl+0x2cc/0x460 dev_ioctl from sock_ioctl+0x1ec/0x524 sock_ioctl from sys_ioctl+0x51c/0xa94 sys_ioctl from ret_fast_syscall+0x0/0x44 (...) Segmentation fault Check for ixp46x in ixp46x_ptp_find() before trying to set up PTP to avoid this. To avoid altering the returned error code from ixp4xx_hwtstamp_set() which before this patch was -EOPNOTSUPP, we return -EOPNOTSUPP from ixp4xx_hwtstamp_set() if ixp46x_ptp_find() fails no matter the error code. The helper function ixp46x_ptp_find() helper returns -ENODEV. Уязвимость компонента drivers/net/ethernet/xscale/ixp4xx_eth.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: kaweth: remove TX queue manipulation in kaweth_set_rx_mode kaweth_set_rx_mode(), the ndo_set_rx_mode callback, calls netif_stop_queue() and netif_wake_queue(). These are TX queue flow control functions unrelated to RX multicast configuration. The premature netif_wake_queue() can re-enable TX while tx_urb is still in-flight, leading to a double usb_submit_urb() on the same URB: kaweth_start_xmit() { netif_stop_queue(); usb_submit_urb(kaweth->tx_urb); } kaweth_set_rx_mode() { netif_stop_queue(); netif_wake_queue(); // wakes TX queue before URB is done } kaweth_start_xmit() { netif_stop_queue(); usb_submit_urb(kaweth->tx_urb); // URB submitted while active } This triggers the WARN in usb_submit_urb(): "URB submitted while active" This is a similar class of bug fixed in rtl8150 by - commit 958baf5eaee3 ("net: usb: Remove disruptive netif_wake_queue in rtl8150_set_multicast"). Also kaweth_set_rx_mode() is already functionally broken, the real set_rx_mode action is performed by kaweth_async_set_rx_mode(), which in turn is not a no-op only at ndo_open() time. Уязвимость компонента drivers/net/usb/kaweth.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: ccs: Avoid possible division by zero Calculating maximum M for scaler configuration involves dividing by MIN_X_OUTPUT_SIZE limit register's value. Albeit the value is presumably non-zero, the driver was missing the check it in fact was. Fix this. Уязвимость компонента drivers/media/i2c/ccs/ccs-core.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: cx25821: Fix a resource leak in cx25821_dev_setup() Add release_mem_region() if ioremap() fails to release the memory region obtained by cx25821_get_resources(). Уязвимость компонента drivers/media/pci/cx25821/cx25821-core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rnbd-srv: Zero the rsp buffer before using it Before using the data buffer to send back the response message, zero it completely. This prevents any stray bytes to be picked up by the client side when there the message is exchanged between different protocol versions. Уязвимость компонента drivers/block/rnbd/rnbd-srv.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: ioam: fix heap buffer overflow in __ioam6_fill_trace_data() On the receive path, __ioam6_fill_trace_data() uses trace->nodelen to decide how much data to write for each node. It trusts this field as-is from the incoming packet, with no consistency check against trace->type (the 24-bit field that tells which data items are present). A crafted packet can set nodelen=0 while setting type bits 0-21, causing the function to write ~100 bytes past the allocated region (into skb_shared_info), which corrupts adjacent heap memory and leads to a kernel panic. Add a shared helper ioam6_trace_compute_nodelen() in ioam6.c to derive the expected nodelen from the type field, and use it: - in ioam6_iptunnel.c (send path, existing validation) to replace the open-coded computation; - in exthdrs.c (receive path, ipv6_hop_ioam) to drop packets whose nodelen is inconsistent with the type field, before any data is written. Per RFC 9197, bits 12-21 are each short (4-octet) fields, so they are included in IOAM6_MASK_SHORT_FIELDS (changed from 0xff100000 to 0xff1ffc00). Уязвимость ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного пакета [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: delete attr leaf freemap entries when empty Back in commit 2a2b5932db6758 ("xfs: fix attr leaf header freemap.size underflow"), Brian Foster observed that it's possible for a small freemap at the end of the end of the xattr entries array to experience a size underflow when subtracting the space consumed by an expansion of the entries array. There are only three freemap entries, which means that it is not a complete index of all free space in the leaf block. This code can leave behind a zero-length freemap entry with a nonzero base. Subsequent setxattr operations can increase the base up to the point that it overlaps with another freemap entry. This isn't in and of itself a problem because the code in _leaf_add that finds free space ignores any freemap entry with zero size. However, there's another bug in the freemap update code in _leaf_add, which is that it fails to update a freemap entry that begins midway through the xattr entry that was just appended to the array. That can result in the freemap containing two entries with the same base but different sizes (0 for the "pushed-up" entry, nonzero for the entry that's actually tracking free space). A subsequent _leaf_add can then allocate xattr namevalue entries on top of the entries array, leading to data loss. But fixing that is for later. For now, eliminate the possibility of confusion by zeroing out the base of any freemap entry that has zero size. Because the freemap is not intended to be a complete index of free space, a subsequent failure to find any free space for a new xattr will trigger block compaction, which regenerates the freemap. It looks like this bug has been in the codebase for quite a long time. Уязвимость компонента fs/xfs/libxfs/xfs_attr_leaf.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: xt_tcpmss: check remaining length before reading optlen Quoting reporter: In net/netfilter/xt_tcpmss.c (lines 53-68), the TCP option parser reads op[i+1] directly without validating the remaining option length. If the last byte of the option field is not EOL/NOP (0/1), the code attempts to index op[i+1]. In the case where i + 1 == optlen, this causes an out-of-bounds read, accessing memory past the optlen boundary (either reading beyond the stack buffer _opt or the following payload). Уязвимость компонента net/netfilter/xt_tcpmss.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: consume xmit errors of GSO frames udpgro_frglist.sh and udpgro_bench.sh are the flakiest tests currently in NIPA. They fail in the same exact way, TCP GRO test stalls occasionally and the test gets killed after 10min. These tests use veth to simulate GRO. They attach a trivial ("return XDP_PASS;") XDP program to the veth to force TSO off and NAPI on. Digging into the failure mode we can see that the connection is completely stuck after a burst of drops. The sender's snd_nxt is at sequence number N [1], but the receiver claims to have received (rcv_nxt) up to N + 3 * MSS [2]. Last piece of the puzzle is that senders rtx queue is not empty (let's say the block in the rtx queue is at sequence number N - 4 * MSS [3]). In this state, sender sends a retransmission from the rtx queue with a single segment, and sequence numbers N-4*MSS:N-3*MSS [3]. Receiver sees it and responds with an ACK all the way up to N + 3 * MSS [2]. But sender will reject this ack as TCP_ACK_UNSENT_DATA because it has no recollection of ever sending data that far out [1]. And we are stuck. The root cause is the mess of the xmit return codes. veth returns an error when it can't xmit a frame. We end up with a loss event like this: ------------------------------------------------- | GSO super frame 1 | GSO super frame 2 | |-----------------------------------------------| | seg | seg | seg | seg | seg | seg | seg | seg | | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | ------------------------------------------------- x ok ok <ok>| ok ok ok <x> \\ snd_nxt "x" means packet lost by veth, and "ok" means it went thru. Since veth has TSO disabled in this test it sees individual segments. Segment 1 is on the retransmit queue and will be resent. So why did the sender not advance snd_nxt even tho it clearly did send up to seg 8? tcp_write_xmit() interprets the return code from the core to mean that data has not been sent at all. Since TCP deals with GSO super frames, not individual segment the crux of the problem is that loss of a single segment can be interpreted as loss of all. TCP only sees the last return code for the last segment of the GSO frame (in <> brackets in the diagram above). Of course for the problem to occur we need a setup or a device without a Qdisc. Otherwise Qdisc layer disconnects the protocol layer from the device errors completely. We have multiple ways to fix this. 1) make veth not return an error when it lost a packet. While this is what I think we did in the past, the issue keeps reappearing and it's annoying to debug. The game of whack a mole is not great. 2) fix the damn return codes We only talk about NETDEV_TX_OK and NETDEV_TX_BUSY in the documentation, so maybe we should make the return code from ndo_start_xmit() a boolean. I like that the most, but perhaps some ancient, not-really-networking protocol would suffer. 3) make TCP ignore the errors It is not entirely clear to me what benefit TCP gets from interpreting the result of ip_queue_xmit()? Specifically once the connection is established and we're pushing data - packet loss is just packet loss? 4) this fix Ignore the rc in the Qdisc-less+GSO case, since it's unreliable. We already always return OK in the TCQ_F_CAN_BYPASS case. In the Qdisc-less case let's be a bit more conservative and only mask the GSO errors. This path is taken by non-IP-"networks" like CAN, MCTP etc, so we could regress some ancient thing. This is the simplest, but also maybe the hackiest fix? Similar fix has been proposed by Eric in the past but never committed because original reporter was working with an OOT driver and wasn't providing feedback (see Link). Уязвимость компонента net/core/dev.c ядра операционной системы Linux связана с отсутствием стандартизированного механизма обработки ошибок. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: ti: pruss: Fix double free in pruss_clk_mux_setup() In the pruss_clk_mux_setup(), the devm_add_action_or_reset() indirectly calls pruss_of_free_clk_provider(), which calls of_node_put(clk_mux_np) on the error path. However, after the devm_add_action_or_reset() returns, the of_node_put(clk_mux_np) is called again, causing a double free. Fix by returning directly, to avoid the duplicate of_node_put(). Уязвимость компонента drivers/soc/ti/pruss.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Fix swapped parameters in pci_{primary/secondary}_epc_epf_unlink() functions struct configfs_item_operations callbacks are defined like the following: int (*allow_link)(struct config_item *src, struct config_item *target); void (*drop_link)(struct config_item *src, struct config_item *target); While pci_primary_epc_epf_link() and pci_secondary_epc_epf_link() specify the parameters in the correct order, pci_primary_epc_epf_unlink() and pci_secondary_epc_epf_unlink() specify the parameters in the wrong order, leading to the below kernel crash when using the unlink command in configfs: Unable to handle kernel paging request at virtual address 0000000300000857 Mem abort info: ... pc : string+0x54/0x14c lr : vsnprintf+0x280/0x6e8 ... string+0x54/0x14c vsnprintf+0x280/0x6e8 vprintk_default+0x38/0x4c vprintk+0xc4/0xe0 pci_epf_unbind+0xdc/0x108 configfs_unlink+0xe0/0x208+0x44/0x74 vfs_unlink+0x120/0x29c __arm64_sys_unlinkat+0x3c/0x90 invoke_syscall+0x48/0x134 do_el0_svc+0x1c/0x30prop.0+0xd0/0xf0 [mani: cced stable, changed commit message as per https://lore.kernel.org/linux-pci/aV9joi3jF1R6ca02@ryzen] Уязвимость компонента drivers/pci/endpoint/pci-ep-cfs.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: vt8500lcdfb: fix missing dma_free_coherent() fbi->fb.screen_buffer is allocated with dma_alloc_coherent() but is not freed if the error path is reached. Уязвимость компонента drivers/video/fbdev/vt8500lcdfb.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: fore200e: fix use-after-free in tasklets during device removal When the PCA-200E or SBA-200E adapter is being detached, the fore200e is deallocated. However, the tx_tasklet or rx_tasklet may still be running or pending, leading to use-after-free bug when the already freed fore200e is accessed again in fore200e_tx_tasklet() or fore200e_rx_tasklet(). One of the race conditions can occur as follows: CPU 0 (cleanup) | CPU 1 (tasklet) fore200e_pca_remove_one() | fore200e_interrupt() fore200e_shutdown() | tasklet_schedule() kfree(fore200e) | fore200e_tx_tasklet() | fore200e-> // UAF Fix this by ensuring tx_tasklet or rx_tasklet is properly canceled before the fore200e is released. Add tasklet_kill() in fore200e_shutdown() to synchronize with any pending or running tasklets. Moreover, since fore200e_reset() could prevent further interrupts or data transfers, the tasklet_kill() should be placed after fore200e_reset() to prevent the tasklet from being rescheduled in fore200e_interrupt(). Finally, it only needs to do tasklet_kill() when the fore200e state is greater than or equal to FORE200E_STATE_IRQ, since tasklets are uninitialized in earlier states. In a word, the tasklet_kill() should be placed in the FORE200E_STATE_IRQ branch within the switch...case structure. This bug was identified through static analysis. Уязвимость компонента drivers/atm/fore200e.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: validate num_ifs to prevent out-of-bounds write The driver obtains sw_attr.num_ifs from firmware via dpsw_get_attributes() but never validates it against DPSW_MAX_IF (64). This value controls iteration in dpaa2_switch_fdb_get_flood_cfg(), which writes port indices into the fixed-size cfg->if_id[DPSW_MAX_IF] array. When firmware reports num_ifs >= 64, the loop can write past the array bounds. Add a bound check for num_ifs in dpaa2_switch_init(). dpaa2_switch_fdb_get_flood_cfg() appends the control interface (port num_ifs) after all matched ports. When num_ifs == DPSW_MAX_IF and all ports match the flood filter, the loop fills all 64 slots and the control interface write overflows by one entry. The check uses >= because num_ifs == DPSW_MAX_IF is also functionally broken. build_if_id_bitmap() silently drops any ID >= 64: if (id[i] < DPSW_MAX_IF) bmap[id[i] / 64] |= ... Уязвимость компонента drivers/net/ethernet/freescale/dpaa2/dpaa2-switch.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix out-of-bounds write in kfd_event_page_set() The kfd_event_page_set() function writes KFD_SIGNAL_EVENT_LIMIT * 8 bytes via memset without checking the buffer size parameter. This allows unprivileged userspace to trigger an out-of bounds kernel memory write by passing a small buffer, leading to potential privilege escalation. Уязвимость компонента drivers/gpu/drm/amd/amdkfd/kfd_events.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mtk-mdp: Fix error handling in probe function Add mtk_mdp_unregister_m2m_device() on the error handling path to prevent resource leak. Add check for the return value of vpu_get_plat_device() to prevent null pointer dereference. And vpu_get_plat_device() increases the reference count of the returned platform device. Add platform_device_put() to prevent reference leak. Уязвимость компонента drivers/media/platform/mediatek/mdp/mtk_mdp_core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: minix: Add required sanity checking to minix_check_superblock() The fs/minix implementation of the minix filesystem does not currently support any other value for s_log_zone_size than 0. This is also the only value supported in util-linux; see mkfs.minix.c line 511. In addition, this patch adds some sanity checking for the other minix superblock fields, and moves the minix_blocks_needed() checks for the zmap and imap also to minix_check_super_block(). This also closes a related syzbot bug report. Уязвимость компонента fs/minix/inode.c ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix pci_slot_trylock() error handling Commit a4e772898f8b ("PCI: Add missing bridge lock to pci_bus_lock()") delegates the bridge device's pci_dev_trylock() to pci_bus_trylock() in pci_slot_trylock(), but it forgets to remove the corresponding pci_dev_unlock() when pci_bus_trylock() fails. Before a4e772898f8b, the code did: if (!pci_dev_trylock(dev)) /* <- lock bridge device */ goto unlock; if (dev->subordinate) { if (!pci_bus_trylock(dev->subordinate)) { pci_dev_unlock(dev); /* <- unlock bridge device */ goto unlock; } } After a4e772898f8b the bridge-device lock is no longer taken, but the pci_dev_unlock(dev) on the failure path was left in place, leading to the bug. This yields one of two errors: 1. A warning that the lock is being unlocked when no one holds it. 2. An incorrect unlock of a lock that belongs to another thread. Fix it by removing the now-redundant pci_dev_unlock(dev) on the failure path. [Same patch later posted by Keith at https://patch.msgid.link/20260116184150.3013258-1-kbusch@meta.com] Уязвимость компонента drivers/pci/pci.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Make cpumask_of_node() robust against NUMA_NO_NODE The arch definition of cpumask_of_node() cannot handle NUMA_NO_NODE - which is a valid index - so add a check for this. Уязвимость компонента arch/loongarch/include/asm/topology.h ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Add SRCU protection for reading PDPTRs in __get_sregs2() Add SRCU read-side protection when reading PDPTR registers in __get_sregs2(). Reading PDPTRs may trigger access to guest memory: kvm_pdptr_read() -> svm_cache_reg() -> load_pdptrs() -> kvm_vcpu_read_guest_page() -> kvm_vcpu_gfn_to_memslot() kvm_vcpu_gfn_to_memslot() dereferences memslots via __kvm_memslots(), which uses srcu_dereference_check() and requires either kvm->srcu or kvm->slots_lock to be held. Currently only vcpu->mutex is held, triggering lockdep warning: ============================= WARNING: suspicious RCU usage in kvm_vcpu_gfn_to_memslot 6.12.59+ #3 Not tainted include/linux/kvm_host.h:1062 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by syz.5.1717/15100: #0: ff1100002f4b00b0 (&vcpu->mutex){+.+.}-{3:3}, at: kvm_vcpu_ioctl+0x1d5/0x1590 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0xf0/0x120 lib/dump_stack.c:120 lockdep_rcu_suspicious+0x1e3/0x270 kernel/locking/lockdep.c:6824 __kvm_memslots include/linux/kvm_host.h:1062 [inline] __kvm_memslots include/linux/kvm_host.h:1059 [inline] kvm_vcpu_memslots include/linux/kvm_host.h:1076 [inline] kvm_vcpu_gfn_to_memslot+0x518/0x5e0 virt/kvm/kvm_main.c:2617 kvm_vcpu_read_guest_page+0x27/0x50 virt/kvm/kvm_main.c:3302 load_pdptrs+0xff/0x4b0 arch/x86/kvm/x86.c:1065 svm_cache_reg+0x1c9/0x230 arch/x86/kvm/svm/svm.c:1688 kvm_pdptr_read arch/x86/kvm/kvm_cache_regs.h:141 [inline] __get_sregs2 arch/x86/kvm/x86.c:11784 [inline] kvm_arch_vcpu_ioctl+0x3e20/0x4aa0 arch/x86/kvm/x86.c:6279 kvm_vcpu_ioctl+0x856/0x1590 virt/kvm/kvm_main.c:4663 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18b/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xbd/0x1d0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента arch/x86/kvm/x86.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c/tw9903: Fix potential memory leak in tw9903_probe() In one of the error paths in tw9903_probe(), the memory allocated in v4l2_ctrl_handler_init() and v4l2_ctrl_new_std() is not freed. Fix that by calling v4l2_ctrl_handler_free() on the handler in that error path. Уязвимость компонента drivers/media/i2c/tw9903.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipmi: ipmb: initialise event handler read bytes IPMB doesn't use i2c reads, but the handler needs to set a value. Otherwise an i2c read will return an uninitialised value from the bus driver. Уязвимость компонента drivers/char/ipmi/ipmi_ipmb.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: pvrusb2: fix URB leak in pvr2_send_request_ex When pvr2_send_request_ex() submits a write URB successfully but fails to submit the read URB (e.g. returns -ENOMEM), it returns immediately without waiting for the write URB to complete. Since the driver reuses the same URB structure, a subsequent call to pvr2_send_request_ex() attempts to submit the still-active write URB, triggering a 'URB submitted while active' warning in usb_submit_urb(). Fix this by ensuring the write URB is unlinked and waited upon if the read URB submission fails. Уязвимость компонента drivers/media/usb/pvrusb2/pvrusb2-hdw.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix memory leak on failure path cfg80211_inform_bss_frame() may return NULL on failure. In that case, the allocated buffer 'buf' is not freed and the function returns early, leading to potential memory leak. Fix this by ensuring that 'buf' is freed on both success and failure paths. Уязвимость компонента drivers/staging/rtl8723bs/os_dep/ioctl_cfg80211.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/rds: No shortcut out of RDS_CONN_ERROR RDS connections carry a state "rds_conn_path::cp_state" and transitions from one state to another and are conditional upon an expected state: "rds_conn_path_transition." There is one exception to this conditionality, which is "RDS_CONN_ERROR" that can be enforced by "rds_conn_path_drop" regardless of what state the condition is currently in. But as soon as a connection enters state "RDS_CONN_ERROR", the connection handling code expects it to go through the shutdown-path. The RDS/TCP multipath changes added a shortcut out of "RDS_CONN_ERROR" straight back to "RDS_CONN_CONNECTING" via "rds_tcp_accept_one_path" (e.g. after "rds_tcp_state_change"). A subsequent "rds_tcp_reset_callbacks" can then transition the state to "RDS_CONN_RESETTING" with a shutdown-worker queued. That'll trip up "rds_conn_init_shutdown", which was never adjusted to handle "RDS_CONN_RESETTING" and subsequently drops the connection with the dreaded "DR_INV_CONN_STATE", which leaves "RDS_SHUTDOWN_WORK_QUEUED" on forever. So we do two things here: a) Don't shortcut "RDS_CONN_ERROR", but take the longer path through the shutdown code. b) Add "RDS_CONN_RESETTING" to the expected states in "rds_conn_init_shutdown" so that we won't error out and get stuck, if we ever hit weird state transitions like this again." Уязвимость компонентов rds ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clocksource/drivers/sh_tmu: Always leave device running after probe The TMU device can be used as both a clocksource and a clockevent provider. The driver tries to be smart and power itself on and off, as well as enabling and disabling its clock when it's not in operation. This behavior is slightly altered if the TMU is used as an early platform device in which case the device is left powered on after probe, but the clock is still enabled and disabled at runtime. This has worked for a long time, but recent improvements in PREEMPT_RT and PROVE_LOCKING have highlighted an issue. As the TMU registers itself as a clockevent provider, clockevents_register_device(), it needs to use raw spinlocks internally as this is the context of which the clockevent framework interacts with the TMU driver. However in the context of holding a raw spinlock the TMU driver can't really manage its power state or clock with calls to pm_runtime_*() and clk_*() as these calls end up in other platform drivers using regular spinlocks to control power and clocks. This mix of spinlock contexts trips a lockdep warning. ============================= [ BUG: Invalid wait context ] 6.18.0-arm64-renesas-09926-gee959e7c5e34 #1 Not tainted ----------------------------- swapper/0/0 is trying to lock: ffff000008c9e180 (&dev->power.lock){-...}-{3:3}, at: __pm_runtime_resume+0x38/0x88 other info that might help us debug this: context-{5:5} 1 lock held by swapper/0/0: ccree e6601000.crypto: ARM CryptoCell 630P Driver: HW version 0xAF400001/0xDCC63000, Driver version 5.0 #0: ffff8000817ec298 ccree e6601000.crypto: ARM ccree device initialized (tick_broadcast_lock){-...}-{2:2}, at: __tick_broadcast_oneshot_control+0xa4/0x3a8 stack backtrace: CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.18.0-arm64-renesas-09926-gee959e7c5e34 #1 PREEMPT Hardware name: Renesas Salvator-X 2nd version board based on r8a77965 (DT) Call trace: show_stack+0x14/0x1c (C) dump_stack_lvl+0x6c/0x90 dump_stack+0x14/0x1c __lock_acquire+0x904/0x1584 lock_acquire+0x220/0x34c _raw_spin_lock_irqsave+0x58/0x80 __pm_runtime_resume+0x38/0x88 sh_tmu_clock_event_set_oneshot+0x84/0xd4 clockevents_switch_state+0xfc/0x13c tick_broadcast_set_event+0x30/0xa4 __tick_broadcast_oneshot_control+0x1e0/0x3a8 tick_broadcast_oneshot_control+0x30/0x40 cpuidle_enter_state+0x40c/0x680 cpuidle_enter+0x30/0x40 do_idle+0x1f4/0x280 cpu_startup_entry+0x34/0x40 kernel_init+0x0/0x130 do_one_initcall+0x0/0x230 __primary_switched+0x88/0x90 For non-PREEMPT_RT builds this is not really an issue, but for PREEMPT_RT builds where normal spinlocks can sleep this might be an issue. Be cautious and always leave the power and clock running after probe. Уязвимость компонента drivers/clocksource/sh_tmu.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/rds: Clear reconnect pending bit When canceling the reconnect worker, care must be taken to reset the reconnect-pending bit. If the reconnect worker has not yet been scheduled before it is canceled, the reconnect-pending bit will stay on forever. Уязвимость компонента net/rds/connection.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: radio-keene: fix memory leak in error path Fix a memory leak in usb_keene_probe(). The v4l2 control handler is initialized and controls are added, but if v4l2_device_register() or video_register_device() fails afterward, the handler was never freed, leaking memory. Add v4l2_ctrl_handler_free() call in the err_v4l2 error path to ensure the control handler is properly freed for all error paths after it is initialized. Уязвимость компонента drivers/media/radio/radio-keene.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wan: farsync: Fix use-after-free bugs caused by unfinished tasklets When the FarSync T-series card is being detached, the fst_card_info is deallocated in fst_remove_one(). However, the fst_tx_task or fst_int_task may still be running or pending, leading to use-after-free bugs when the already freed fst_card_info is accessed in fst_process_tx_work_q() or fst_process_int_work_q(). A typical race condition is depicted below: CPU 0 (cleanup) | CPU 1 (tasklet) | fst_start_xmit() fst_remove_one() | tasklet_schedule() unregister_hdlc_device()| | fst_process_tx_work_q() //handler kfree(card) //free | do_bottom_half_tx() | card-> //use The following KASAN trace was captured: ================================================================== BUG: KASAN: slab-use-after-free in do_bottom_half_tx+0xb88/0xd00 Read of size 4 at addr ffff88800aad101c by task ksoftirqd/3/32 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcb/0x5d0 ? do_bottom_half_tx+0xb88/0xd00 kasan_report+0xb8/0xf0 ? do_bottom_half_tx+0xb88/0xd00 do_bottom_half_tx+0xb88/0xd00 ? _raw_spin_lock_irqsave+0x85/0xe0 ? __pfx__raw_spin_lock_irqsave+0x10/0x10 ? __pfx___hrtimer_run_queues+0x10/0x10 fst_process_tx_work_q+0x67/0x90 tasklet_action_common+0x1fa/0x720 ? hrtimer_interrupt+0x31f/0x780 handle_softirqs+0x176/0x530 __irq_exit_rcu+0xab/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 ... Allocated by task 41 on cpu 3 at 72.330843s: kasan_save_stack+0x24/0x50 kasan_save_track+0x17/0x60 __kasan_kmalloc+0x7f/0x90 fst_add_one+0x1a5/0x1cd0 local_pci_probe+0xdd/0x190 pci_device_probe+0x341/0x480 really_probe+0x1c6/0x6a0 __driver_probe_device+0x248/0x310 driver_probe_device+0x48/0x210 __device_attach_driver+0x160/0x320 bus_for_each_drv+0x101/0x190 __device_attach+0x198/0x3a0 device_initial_probe+0x78/0xa0 pci_bus_add_device+0x81/0xc0 pci_bus_add_devices+0x7e/0x190 enable_slot+0x9b9/0x1130 acpiphp_check_bridge.part.0+0x2e1/0x460 acpiphp_hotplug_notify+0x36c/0x3c0 acpi_device_hotplug+0x203/0xb10 acpi_hotplug_work_fn+0x59/0x80 ... Freed by task 41 on cpu 1 at 75.138639s: kasan_save_stack+0x24/0x50 kasan_save_track+0x17/0x60 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x43/0x70 kfree+0x135/0x410 fst_remove_one+0x2ca/0x540 pci_device_remove+0xa6/0x1d0 device_release_driver_internal+0x364/0x530 pci_stop_bus_device+0x105/0x150 pci_stop_and_remove_bus_device+0xd/0x20 disable_slot+0x116/0x260 acpiphp_disable_and_eject_slot+0x4b/0x190 acpiphp_hotplug_notify+0x230/0x3c0 acpi_device_hotplug+0x203/0xb10 acpi_hotplug_work_fn+0x59/0x80 ... The buggy address belongs to the object at ffff88800aad1000 which belongs to the cache kmalloc-1k of size 1024 The buggy address is located 28 bytes inside of freed 1024-byte region The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0xaad0 head: order:3 mapcount:0 entire_mapcount:0 nr_pages_mapped:0 pincount:0 flags: 0x100000000000040(head|node=0|zone=1) page_type: f5(slab) raw: 0100000000000040 ffff888007042dc0 dead000000000122 0000000000000000 raw: 0000000000000000 0000000080100010 00000000f5000000 0000000000000000 head: 0100000000000040 ffff888007042dc0 dead000000000122 0000000000000000 head: 0000000000000000 0000000080100010 00000000f5000000 0000000000000000 head: 0100000000000003 ffffea00002ab401 00000000ffffffff 00000000ffffffff head: 0000000000000000 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff88800aad0f00: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc ffff88800aad0f80: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc >ffff88800aad1000: fa fb ---truncated--- Уязвимость компонента farsync ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conntrack_h323: fix OOB read in decode_choice() In decode_choice(), the boundary check before get_len() uses the variable `len`, which is still 0 from its initialization at the top of the function: unsigned int type, ext, len = 0; ... if (ext || (son->attr & OPEN)) { BYTE_ALIGN(bs); if (nf_h323_error_boundary(bs, len, 0)) /* len is 0 here */ return H323_ERROR_BOUND; len = get_len(bs); /* OOB read */ When the bitstream is exactly consumed (bs->cur == bs->end), the check nf_h323_error_boundary(bs, 0, 0) evaluates to (bs->cur + 0 > bs->end), which is false. The subsequent get_len() call then dereferences *bs->cur++, reading 1 byte past the end of the buffer. If that byte has bit 7 set, get_len() reads a second byte as well. This can be triggered remotely by sending a crafted Q.931 SETUP message with a User-User Information Element containing exactly 2 bytes of PER-encoded data ({0x08, 0x00}) to port 1720 through a firewall with the nf_conntrack_h323 helper active. The decoder fully consumes the PER buffer before reaching this code path, resulting in a 1-2 byte heap-buffer-overflow read confirmed by AddressSanitizer. Fix this by checking for 2 bytes (the maximum that get_len() may read) instead of the uninitialized `len`. This matches the pattern used at every other get_len() call site in the same file, where the caller checks for 2 bytes of available data before calling get_len(). Уязвимость функции decode_choice() компонента nf_conntrack_h323 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/atmel-hlcdc: fix use-after-free of drm_crtc_commit after release The atmel_hlcdc_plane_atomic_duplicate_state() callback was copying the atmel_hlcdc_plane state structure without properly duplicating the drm_plane_state. In particular, state->commit remained set to the old state commit, which can lead to a use-after-free in the next drm_atomic_commit() call. Fix this by calling __drm_atomic_helper_duplicate_plane_state(), which correctly clones the base drm_plane_state (including the ->commit pointer). It has been seen when closing and re-opening the device node while another DRM client (e.g. fbdev) is still attached: ============================================================================= BUG kmalloc-64 (Not tainted): Poison overwritten ----------------------------------------------------------------------------- 0xc611b344-0xc611b344 @offset=836. First byte 0x6a instead of 0x6b FIX kmalloc-64: Restoring Poison 0xc611b344-0xc611b344=0x6b Allocated in drm_atomic_helper_setup_commit+0x1e8/0x7bc age=178 cpu=0 pid=29 drm_atomic_helper_setup_commit+0x1e8/0x7bc drm_atomic_helper_commit+0x3c/0x15c drm_atomic_commit+0xc0/0xf4 drm_framebuffer_remove+0x4cc/0x5a8 drm_mode_rmfb_work_fn+0x6c/0x80 process_one_work+0x12c/0x2cc worker_thread+0x2a8/0x400 kthread+0xc0/0xdc ret_from_fork+0x14/0x28 Freed in drm_atomic_helper_commit_hw_done+0x100/0x150 age=8 cpu=0 pid=169 drm_atomic_helper_commit_hw_done+0x100/0x150 drm_atomic_helper_commit_tail+0x64/0x8c commit_tail+0x168/0x18c drm_atomic_helper_commit+0x138/0x15c drm_atomic_commit+0xc0/0xf4 drm_atomic_helper_set_config+0x84/0xb8 drm_mode_setcrtc+0x32c/0x810 drm_ioctl+0x20c/0x488 sys_ioctl+0x14c/0xc20 ret_fast_syscall+0x0/0x54 Slab 0xef8bc360 objects=21 used=16 fp=0xc611b7c0 flags=0x200(workingset|zone=0) Object 0xc611b340 @offset=832 fp=0xc611b7c0 Уязвимость компонентов drm/atmel-hlcdc ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_skbedit: fix divide-by-zero in tcf_skbedit_hash() Commit 38a6f0865796 ("net: sched: support hash selecting tx queue") added SKBEDIT_F_TXQ_SKBHASH support. The inclusive range size is computed as: mapping_mod = queue_mapping_max - queue_mapping + 1; The range size can be 65536 when the requested range covers all possible u16 queue IDs (e.g. queue_mapping=0 and queue_mapping_max=U16_MAX). That value cannot be represented in a u16 and previously wrapped to 0, so tcf_skbedit_hash() could trigger a divide-by-zero: queue_mapping += skb_get_hash(skb) % params->mapping_mod; Compute mapping_mod in a wider type and reject ranges larger than U16_MAX to prevent params->mapping_mod from becoming 0 and avoid the crash. Уязвимость компонента act_skbedit.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/kexec: add a sanity check on previous kernel's ima kexec buffer When the second-stage kernel is booted via kexec with a limiting command line such as "mem=<size>", the physical range that contains the carried over IMA measurement list may fall outside the truncated RAM leading to a kernel panic. BUG: unable to handle page fault for address: ffff97793ff47000 RIP: ima_restore_measurement_list+0xdc/0x45a #PF: error_code(0x0000) – not-present page Other architectures already validate the range with page_is_ram(), as done in commit cbf9c4b9617b ("of: check previous kernel's ima-kexec-buffer against memory bounds") do a similar check on x86. Without carrying the measurement list across kexec, the attestation would fail. Уязвимость компонентов x86/kexec ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntb: ntb_hw_switchtec: Fix array-index-out-of-bounds access Number of MW LUTs depends on NTB configuration and can be set to MAX_MWS, This patch protects against invalid index out of bounds access to mw_sizes When invalid access print message to user that configuration is not valid. Уязвимость компонента ntb_hw_switchtec ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: ti: k3-socinfo: Fix regmap leak on probe failure The mmio regmap allocated during probe is never freed. Switch to using the device managed allocator so that the regmap is released on probe failures (e.g. probe deferral) and on driver unbind. Уязвимость компонента k3-socinfo ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c/tw9906: Fix potential memory leak in tw9906_probe() In one of the error paths in tw9906_probe(), the memory allocated in v4l2_ctrl_handler_init() and v4l2_ctrl_new_std() is not freed. Fix that by calling v4l2_ctrl_handler_free() on the handler in that error path. Уязвимость функции tw9906_probe() компонента i2c/tw9906.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: prodikeys: Check presence of pm->input_ep82 Fake USB devices can send their own report descriptors for which the input_mapping() hook does not get called. In this case, pm->input_ep82 stays NULL, which leads to a crash later. This does not happen with the real device, but can be provoked by imposing as one. Уязвимость компонента prodikeys ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: libertas: fix WARNING in usb_tx_block The function usb_tx_block() submits cardp->tx_urb without ensuring that any previous transmission on this URB has completed. If a second call occurs while the URB is still active (e.g. during rapid firmware loading), usb_submit_urb() detects the active state and triggers a warning: 'URB submitted while active'. Fix this by enforcing serialization: call usb_kill_urb() before submitting the new request. This ensures the URB is idle and safe to reuse. Уязвимость функции usb_tx_block() компонента libertas ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: cx88: Add missing unmap in snd_cx88_hw_params() In error path, add cx88_alsa_dma_unmap() to release resource acquired by cx88_alsa_dma_map(). Уязвимость функции snd_cx88_hw_params() компонента cx88 ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: Add support for TSV110 Spectre-BHB mitigation The TSV110 processor is vulnerable to the Spectre-BHB (Branch History Buffer) attack, which can be exploited to leak information through branch prediction side channels. This commit adds the MIDR of TSV110 to the list for software mitigation. Уязвимость компонента proton-pack.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gfs2: fiemap page fault fix In gfs2_fiemap(), we are calling iomap_fiemap() while holding the inode glock. This can lead to recursive glock taking if the fiemap buffer is memory mapped to the same inode and accessing it triggers a page fault. Fix by disabling page faults for iomap_fiemap() and faulting in the buffer by hand if necessary. Fixes xfstest generic/742. Уязвимость компонента gfs2 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: of: display_timing: fix refcount leak in of_get_display_timings() of_parse_phandle() returns a device_node with refcount incremented, which is stored in 'entry' and then copied to 'native_mode'. When the error paths at lines 184 or 192 jump to 'entryfail', native_mode's refcount is not decremented, causing a refcount leak. Fix this by changing the goto target from 'entryfail' to 'timingfail', which properly calls of_node_put(native_mode) before cleanup. Уязвимость компонента display_timing ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: EFI/CPER: don't go past the ARM processor CPER record buffer There's a logic inside GHES/CPER to detect if the section_length is too small, but it doesn't detect if it is too big. Currently, if the firmware receives an ARM processor CPER record stating that a section length is big, kernel will blindly trust section_length, producing a very long dump. For instance, a 67 bytes record with ERR_INFO_NUM set 46198 and section length set to 854918320 would dump a lot of data going a way past the firmware memory-mapped area. Fix it by adding a logic to prevent it to go past the buffer if ERR_INFO_NUM is too big, making it report instead: [Hardware Error]: Hardware error from APEI Generic Hardware Error Source: 1 [Hardware Error]: event severity: recoverable [Hardware Error]: Error 0, type: recoverable [Hardware Error]: section_type: ARM processor error [Hardware Error]: MIDR: 0xff304b2f8476870a [Hardware Error]: section length: 854918320, CPER size: 67 [Hardware Error]: section length is too big [Hardware Error]: firmware-generated error record is incorrect [Hardware Error]: ERR_INFO_NUM is 46198 [ rjw: Subject and changelog tweaks ] Уязвимость компонентов EFI/CPER ядра операционной системы Linux связана с ошибками при обработке параметров длины. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: pretend special inodes as regular files Since commit af153bb63a33 ("vfs: catch invalid modes in may_open()") requires any inode be one of S_IFDIR/S_IFLNK/S_IFREG/S_IFCHR/S_IFBLK/ S_IFIFO/S_IFSOCK type, use S_IFREG for special inodes. Уязвимость компонента hfsplus ядра операционной системы Linux связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/atmel-hlcdc: fix memory leak from the atomic_destroy_state callback After several commits, the slab memory increases. Some drm_crtc_commit objects are not freed. The atomic_destroy_state callback only put the framebuffer. Use the __drm_atomic_helper_plane_destroy_state() function to put all the objects that are no longer needed. It has been seen after hours of usage of a graphics application or using kmemleak: unreferenced object 0xc63a6580 (size 64): comm "egt_basic", pid 171, jiffies 4294940784 hex dump (first 32 bytes): 40 50 34 c5 01 00 00 00 ff ff ff ff 8c 65 3a c6 @P4..........e:. 8c 65 3a c6 ff ff ff ff 98 65 3a c6 98 65 3a c6 .e:......e:..e:. backtrace (crc c25aa925): kmemleak_alloc+0x34/0x3c __kmalloc_cache_noprof+0x150/0x1a4 drm_atomic_helper_setup_commit+0x1e8/0x7bc drm_atomic_helper_commit+0x3c/0x15c drm_atomic_commit+0xc0/0xf4 drm_atomic_helper_set_config+0x84/0xb8 drm_mode_setcrtc+0x32c/0x810 drm_ioctl+0x20c/0x488 sys_ioctl+0x14c/0xc20 ret_fast_syscall+0x0/0x54 Уязвимость компонентов drm/atmel-hlcdc ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mtk-mdp: Fix a reference leak bug in mtk_mdp_remove() In mtk_mdp_probe(), vpu_get_plat_device() increases the reference count of the returned platform device. Add platform_device_put() to prevent reference leak. Уязвимость компонента mtk-mdp ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ceph: supply snapshot context in ceph_zero_partial_object() The ceph_zero_partial_object function was missing proper snapshot context for its OSD write operations, which could lead to data inconsistencies in snapshots. Reproducer: ../src/vstart.sh --new -x --localhost --bluestore ./bin/ceph auth caps client.fs_a mds 'allow rwps fsname=a' mon 'allow r fsname=a' osd 'allow rw tag cephfs data=a' mount -t ceph fs_a@.a=/ /mnt/mycephfs/ -o conf=./ceph.conf dd if=/dev/urandom of=/mnt/mycephfs/foo bs=64K count=1 mkdir /mnt/mycephfs/.snap/snap1 md5sum /mnt/mycephfs/.snap/snap1/foo fallocate -p -o 0 -l 4096 /mnt/mycephfs/foo echo 3 > /proc/sys/vm/drop/caches md5sum /mnt/mycephfs/.snap/snap1/foo # get different md5sum!! Уязвимость компонента ceph ядра операционной системы Linux связана с некорректной обработкой отсутствующего специального элемента. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: Flush exception handling work when RPM level is zero Ensure that the exception event handling work is explicitly flushed during suspend when the runtime power management level is set to UFS_PM_LVL_0. When the RPM level is zero, the device power mode and link state both remain active. Previously, the UFS core driver bypassed flushing exception event handling jobs in this configuration. This created a race condition where the driver could attempt to access the host controller to handle an exception after the system had already entered a deep power-down state, resulting in a system crash. Explicitly flush this work and disable auto BKOPs before the suspend callback proceeds. This guarantees that pending exception tasks complete and prevents illegal hardware access during the power-down sequence. Уязвимость компонента core/ufshcd.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: APEI/GHES: ensure that won't go past CPER allocated record The logic at ghes_new() prevents allocating too large records, by checking if they're bigger than GHES_ESTATUS_MAX_SIZE (currently, 64KB). Yet, the allocation is done with the actual number of pages from the CPER bios table location, which can be smaller. Yet, a bad firmware could send data with a different size, which might be bigger than the allocated memory, causing an OOPS: Unable to handle kernel paging request at virtual address fff00000f9b40000 Mem abort info: ESR = 0x0000000096000007 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x07: level 3 translation fault Data abort info: ISV = 0, ISS = 0x00000007, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 swapper pgtable: 4k pages, 52-bit VAs, pgdp=000000008ba16000 [fff00000f9b40000] pgd=180000013ffff403, p4d=180000013fffe403, pud=180000013f85b403, pmd=180000013f68d403, pte=0000000000000000 Internal error: Oops: 0000000096000007 [#1] SMP Modules linked in: CPU: 0 UID: 0 PID: 303 Comm: kworker/0:1 Not tainted 6.19.0-rc1-00002-gda407d200220 #34 PREEMPT Hardware name: QEMU QEMU Virtual Machine, BIOS unknown 02/02/2022 Workqueue: kacpi_notify acpi_os_execute_deferred pstate: 214020c5 (nzCv daIF +PAN -UAO -TCO +DIT -SSBS BTYPE=--) pc : hex_dump_to_buffer+0x30c/0x4a0 lr : hex_dump_to_buffer+0x328/0x4a0 sp : ffff800080e13880 x29: ffff800080e13880 x28: ffffac9aba86f6a8 x27: 0000000000000083 x26: fff00000f9b3fffc x25: 0000000000000004 x24: 0000000000000004 x23: ffff800080e13905 x22: 0000000000000010 x21: 0000000000000083 x20: 0000000000000001 x19: 0000000000000008 x18: 0000000000000010 x17: 0000000000000001 x16: 00000007c7f20fec x15: 0000000000000020 x14: 0000000000000008 x13: 0000000000081020 x12: 0000000000000008 x11: ffff800080e13905 x10: ffff800080e13988 x9 : 0000000000000000 x8 : 0000000000000000 x7 : 0000000000000001 x6 : 0000000000000020 x5 : 0000000000000030 x4 : 00000000fffffffe x3 : 0000000000000000 x2 : ffffac9aba78c1c8 x1 : ffffac9aba76d0a8 x0 : 0000000000000008 Call trace: hex_dump_to_buffer+0x30c/0x4a0 (P) print_hex_dump+0xac/0x170 cper_estatus_print_section+0x90c/0x968 cper_estatus_print+0xf0/0x158 __ghes_print_estatus+0xa0/0x148 ghes_proc+0x1bc/0x220 ghes_notify_hed+0x5c/0xb8 notifier_call_chain+0x78/0x148 blocking_notifier_call_chain+0x4c/0x80 acpi_hed_notify+0x28/0x40 acpi_ev_notify_dispatch+0x50/0x80 acpi_os_execute_deferred+0x24/0x48 process_one_work+0x15c/0x3b0 worker_thread+0x2d0/0x400 kthread+0x148/0x228 ret_from_fork+0x10/0x20 Code: 6b14033f 540001ad a94707e2 f100029f (b8747b44) ---[ end trace 0000000000000000 ]--- Prevent that by taking the actual allocated are into account when checking for CPER length. [ rjw: Subject tweaks ] Уязвимость компонентов APEI/GHES ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm: clear cloned request bio pointer when last clone bio completes Stale rq->bio values have been observed to cause double-initialization of cloned bios in request-based device-mapper targets, leading to use-after-free and double-free scenarios. One such case occurs when using dm-multipath on top of a PCIe NVMe namespace, where cloned request bios are freed during blk_complete_request(), but rq->bio is left intact. Subsequent clone teardown then attempts to free the same bios again via blk_rq_unprep_clone(). The resulting double-free path looks like: nvme_pci_complete_batch() nvme_complete_batch() blk_mq_end_request_batch() blk_complete_request() // called on a DM clone request bio_endio() // first free of all clone bios ... rq->end_io() // end_clone_request() dm_complete_request(tio->orig) dm_softirq_done() dm_done() dm_end_request() blk_rq_unprep_clone() // second free of clone bios Fix this by clearing the clone request's bio pointer when the last cloned bio completes, ensuring that later teardown paths do not attempt to free already-released bios. Уязвимость компонентов dm-rq.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Add sanity check for OOB writes at silencing At silencing the playback URB packets in the implicit fb mode before the actual playback, we blindly assume that the received packets fit with the buffer size. But when the setup in the capture stream differs from the playback stream (e.g. due to the USB core limitation of max packet size), such an inconsistency may lead to OOB writes to the buffer, resulting in a crash. For addressing it, add a sanity check of the transfer buffer size at prepare_silent_urb(), and stop the data copy if the received data overflows. Also, report back the transfer error properly from there, too. Note that this doesn't fix the root cause of the playback error itself, but this merely covers the kernel Oops. Уязвимость модуля usb-audio ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ec_bhf: Fix dma_free_coherent() dma handle dma_free_coherent() in error path takes priv->rx_buf.alloc_len as the dma handle. This would lead to improper unmapping of the buffer. Change the dma handle to priv->rx_buf.alloc_phys. Уязвимость компонента ec_bhf ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm: esp: avoid in-place decrypt on shared skb frags MSG_SPLICE_PAGES can attach pages from a pipe directly to an skb. TCP marks such skbs with SKBFL_SHARED_FRAG after skb_splice_from_iter(), so later paths that may modify packet data can first make a private copy. The IPv4/IPv6 datagram append paths did not set this flag when splicing pages into UDP skbs. That leaves an ESP-in-UDP packet made from shared pipe pages looking like an ordinary uncloned nonlinear skb. ESP input then takes the no-COW fast path for uncloned skbs without a frag_list and decrypts in place over data that is not owned privately by the skb. Mark IPv4/IPv6 datagram splice frags with SKBFL_SHARED_FRAG, matching TCP. Also make ESP input fall back to skb_cow_data() when the flag is present, so ESP does not decrypt externally backed frags in place. Private nonlinear skb frags still use the existing fast path. This intentionally does not change ESP output. In esp_output_head(), the path that appends the ESP trailer to existing skb tailroom without calling skb_cow_data() is not reachable for nonlinear skbs: skb_tailroom() returns zero when skb->data_len is nonzero, while ESP tailen is positive. Thus ESP output will either use the separate destination-frag path or fall back to skb_cow_data(). Уязвимость компонентов xfrm ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root [NistCWE(cwe='CWE-123'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации уязвимостей CVE-2026-43284, CVE-2026-43500 (Dirty Frag) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: Account property blob allocations to memcg DRM_IOCTL_MODE_CREATEPROPBLOB allows userspace to allocate arbitrary-sized property blobs backed by kernel memory. Currently, the blob data allocation is not accounted to the allocating process's memory cgroup, allowing unprivileged users to trigger unbounded kernel memory consumption and potentially cause system-wide OOM. Mark the property blob data allocation with GFP_KERNEL_ACCOUNT so that the memory is properly charged to the caller's memcg. This ensures existing cgroup memory limits apply and prevents uncontrolled kernel memory growth without introducing additional policy or per-file limits. Уязвимость компонента drm_property.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kexec: derive purgatory entry from symbol kexec_load_purgatory() derives image->start by locating e_entry inside an SHF_EXECINSTR section. If the purgatory object contains multiple executable sections with overlapping sh_addr, the entrypoint check can match more than once and trigger a WARN. Derive the entry section from the purgatory_start symbol when present and compute image->start from its final placement. Keep the existing e_entry fallback for purgatories that do not expose the symbol. WARNING: kernel/kexec_file.c:1009 at kexec_load_purgatory+0x395/0x3c0, CPU#10: kexec/1784 Call Trace: <TASK> bzImage64_load+0x133/0xa00 __do_sys_kexec_file_load+0x2b3/0x5c0 do_syscall_64+0x81/0x610 entry_SYSCALL_64_after_hwframe+0x76/0x7e [me@linux.beauty: move helper to avoid forward declaration, per Baoquan] Уязвимость модуля kexec ядра операционной системы Linux связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: nfc: nci: Fix parameter validation for packet data Since commit 9c328f54741b ("net: nfc: nci: Add parameter validation for packet data") communication with nci nfc chips is not working any more. The mentioned commit tries to fix access of uninitialized data, but failed to understand that in some cases the data packet is of variable length and can therefore not be compared to the maximum packet length given by the sizeof(struct). Уязвимость модуля nci ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rapidio: replace rio_free_net() with kfree() in rio_scan_alloc_net() When idtab allocation fails, net is not registered with rio_add_net() yet, so kfree(net) is sufficient to release the memory. Set mport->net to NULL to avoid dangling pointer. Уязвимость компонента rapidio ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: Workaround SQM/PSE stalls by disabling sticky NIX SQ manager sticky mode is known to cause stalls when multiple SQs share an SMQ and transmit concurrently. Additionally, PSE may deadlock on transitions between sticky and non-sticky transmissions. There is also a credit drop issue observed when certain condition clocks are gated. work around these hardware errata by: - Disabling SQM sticky operation: - Clear TM6 (bit 15) - Clear TM11 (bit 14) - Disabling sticky → non-sticky transition path that can deadlock PSE: - Clear TM5 (bit 23) - Preventing credit drops by keeping the control-flow clock enabled: - Set TM9 (bit 21) These changes are applied via NIX_AF_SQM_DBG_CTL_STATUS. With this configuration the SQM/PSE maintain forward progress under load without credit loss, at the cost of disabling sticky optimizations. Уязвимость модуля octeontx2-af ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Set DMA segment size to avoid debug warnings When using V3D rendering with CONFIG_DMA_API_DEBUG enabled, the kernel occasionally reports a segment size mismatch. This is because 'max_seg_size' is not set. The kernel defaults to 64K. setting 'max_seg_size' to the maximum will prevent 'debug_dma_map_sg()' from complaining about the over-mapping of the V3D segment length. DMA-API: v3d 1002000000.v3d: mapping sg segment longer than device claims to support [len=8290304] [max=65536] WARNING: CPU: 0 PID: 493 at kernel/dma/debug.c:1179 debug_dma_map_sg+0x330/0x388 CPU: 0 UID: 0 PID: 493 Comm: Xorg Not tainted 6.12.53-yocto-standard #1 Hardware name: Raspberry Pi 5 Model B Rev 1.0 (DT) pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : debug_dma_map_sg+0x330/0x388 lr : debug_dma_map_sg+0x330/0x388 sp : ffff8000829a3ac0 x29: ffff8000829a3ac0 x28: 0000000000000001 x27: ffff8000813fe000 x26: ffffc1ffc0000000 x25: ffff00010fdeb760 x24: 0000000000000000 x23: ffff8000816a9bf0 x22: 0000000000000001 x21: 0000000000000002 x20: 0000000000000002 x19: ffff00010185e810 x18: ffffffffffffffff x17: 69766564206e6168 x16: 74207265676e6f6c x15: 20746e656d676573 x14: 20677320676e6970 x13: 5d34303334393134 x12: 0000000000000000 x11: 00000000000000c0 x10: 00000000000009c0 x9 : ffff8000800e0b7c x8 : ffff00010a315ca0 x7 : ffff8000816a5110 x6 : 0000000000000001 x5 : 000000000000002b x4 : 0000000000000002 x3 : 0000000000000008 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff00010a315280 Call trace: debug_dma_map_sg+0x330/0x388 __dma_map_sg_attrs+0xc0/0x278 dma_map_sgtable+0x30/0x58 drm_gem_shmem_get_pages_sgt+0xb4/0x140 v3d_bo_create_finish+0x28/0x130 [v3d] v3d_create_bo_ioctl+0x54/0x180 [v3d] drm_ioctl_kernel+0xc8/0x140 drm_ioctl+0x2d4/0x4d8 Уязвимость компонентов drm/v3d ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: define and enforce CEPH_MAX_KEY_LEN When decoding the key, verify that the key material would fit into a fixed-size buffer in process_auth_done() and generally has a sane length. The new CEPH_MAX_KEY_LEN check replaces the existing check for a key with no key material which is a) not universal since CEPH_CRYPTO_NONE has to be excluded and b) doesn't provide much value since a smaller than needed key is just as invalid as no key -- this has to be handled elsewhere anyway. Уязвимость модуля libceph ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c: ov5647: Initialize subdev before controls In ov5647_init_controls() we call v4l2_get_subdevdata, but it is initialized by v4l2_i2c_subdev_init() in the probe, which currently happens after init_controls(). This can result in a segfault if the error condition is hit, and we try to access i2c_client, so fix the order. Уязвимость компонента ov5647.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: processor: Fix NULL-pointer dereference in acpi_processor_errata_piix4() In acpi_processor_errata_piix4(), the pointer dev is first assigned an IDE device and then reassigned an ISA device: dev = pci_get_subsys(..., PCI_DEVICE_ID_INTEL_82371AB, ...); dev = pci_get_subsys(..., PCI_DEVICE_ID_INTEL_82371AB_0, ...); If the first lookup succeeds but the second fails, dev becomes NULL. This leads to a potential null-pointer dereference when dev_dbg() is called: if (errata.piix4.bmisx) dev_dbg(&dev->dev, ...); To prevent this, use two temporary pointers and retrieve each device independently, avoiding overwriting dev with a possible NULL value. [ rjw: Subject adjustment, added an empty code line ] Уязвимость функции acpi_processor_errata_piix4() компонента acpi_processor.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm: remove fake timeout to avoid leak request Since commit 15f73f5b3e59 ("blk-mq: move failure injection out of blk_mq_complete_request"), drivers are responsible for calling blk_should_fake_timeout() at appropriate code paths and opportunities. However, the dm driver does not implement its own timeout handler and relies on the timeout handling of its slave devices. If an io-timeout-fail error is injected to a dm device, the request will be leaked and never completed, causing tasks to hang indefinitely. Reproduce: 1. prepare dm which has iscsi slave device 2. inject io-timeout-fail to dm echo 1 >/sys/class/block/dm-0/io-timeout-fail echo 100 >/sys/kernel/debug/fail_io_timeout/probability echo 10 >/sys/kernel/debug/fail_io_timeout/times 3. read/write dm 4. iscsiadm -m node -u Result: hang task like below [ 862.243768] INFO: task kworker/u514:2:151 blocked for more than 122 seconds. [ 862.244133] Tainted: G E 6.19.0-rc1+ #51 [ 862.244337] "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. [ 862.244718] task:kworker/u514:2 state:D stack:0 pid:151 tgid:151 ppid:2 task_flags:0x4288060 flags:0x00080000 [ 862.245024] Workqueue: iscsi_ctrl_3:1 __iscsi_unbind_session [scsi_transport_iscsi] [ 862.245264] Call Trace: [ 862.245587] <TASK> [ 862.245814] __schedule+0x810/0x15c0 [ 862.246557] schedule+0x69/0x180 [ 862.246760] blk_mq_freeze_queue_wait+0xde/0x120 [ 862.247688] elevator_change+0x16d/0x460 [ 862.247893] elevator_set_none+0x87/0xf0 [ 862.248798] blk_unregister_queue+0x12e/0x2a0 [ 862.248995] __del_gendisk+0x231/0x7e0 [ 862.250143] del_gendisk+0x12f/0x1d0 [ 862.250339] sd_remove+0x85/0x130 [sd_mod] [ 862.250650] device_release_driver_internal+0x36d/0x530 [ 862.250849] bus_remove_device+0x1dd/0x3f0 [ 862.251042] device_del+0x38a/0x930 [ 862.252095] __scsi_remove_device+0x293/0x360 [ 862.252291] scsi_remove_target+0x486/0x760 [ 862.252654] __iscsi_unbind_session+0x18a/0x3e0 [scsi_transport_iscsi] [ 862.252886] process_one_work+0x633/0xe50 [ 862.253101] worker_thread+0x6df/0xf10 [ 862.253647] kthread+0x36d/0x720 [ 862.254533] ret_from_fork+0x2a6/0x470 [ 862.255852] ret_from_fork_asm+0x1a/0x30 [ 862.256037] </TASK> Remove the blk_should_fake_timeout() check from dm, as dm has no native timeout handling and should not attempt to fake timeouts. Уязвимость компонента dm-rq.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: nSVM: Remove a user-triggerable WARN on nested_svm_load_cr3() succeeding Drop the WARN in svm_set_nested_state() on nested_svm_load_cr3() failing as it is trivially easy to trigger from userspace by modifying CPUID after loading CR3. E.g. modifying the state restoration selftest like so: --- tools/testing/selftests/kvm/x86/state_test.c +++ tools/testing/selftests/kvm/x86/state_test.c @@ -280,7 +280,16 @@ int main(int argc, char *argv[]) /* Restore state in a new VM. */ vcpu = vm_recreate_with_one_vcpu(vm); - vcpu_load_state(vcpu, state); + + if (stage == 4) { + state->sregs.cr3 = BIT(44); + vcpu_load_state(vcpu, state); + + vcpu_set_cpuid_property(vcpu, X86_PROPERTY_MAX_PHY_ADDR, 36); + __vcpu_nested_state_set(vcpu, &state->nested); + } else { + vcpu_load_state(vcpu, state); + } /* * Restore XSAVE state in a dummy vCPU, first without doing generates: WARNING: CPU: 30 PID: 938 at arch/x86/kvm/svm/nested.c:1877 svm_set_nested_state+0x34a/0x360 [kvm_amd] Modules linked in: kvm_amd kvm irqbypass [last unloaded: kvm] CPU: 30 UID: 1000 PID: 938 Comm: state_test Tainted: G W 6.18.0-rc7-58e10b63777d-next-vm Tainted: [W]=WARN Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:svm_set_nested_state+0x34a/0x360 [kvm_amd] Call Trace: <TASK> kvm_arch_vcpu_ioctl+0xf33/0x1700 [kvm] kvm_vcpu_ioctl+0x4e6/0x8f0 [kvm] __x64_sys_ioctl+0x8f/0xd0 do_syscall_64+0x61/0xad0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Simply delete the WARN instead of trying to prevent userspace from shoving "illegal" state into CR3. For better or worse, KVM's ABI allows userspace to set CPUID after SREGS, and vice versa, and KVM is very permissive when it comes to guest CPUID. I.e. attempting to enforce the virtual CPU model when setting CPUID could break userspace. Given that the WARN doesn't provide any meaningful protection for KVM or benefit for userspace, simply drop it even though the odds of breaking userspace are minuscule. Opportunistically delete a spurious newline. Уязвимость компонента svm/nested.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: solo6x10: Check for out of bounds chip_id Clang with CONFIG_UBSAN_SHIFT=y noticed a condition where a signed type (literal "1" is an "int") could end up being shifted beyond 32 bits, so instrumentation was added (and due to the double is_tw286x() call seen via inlining), Clang decides the second one must now be undefined behavior and elides the rest of the function[1]. This is a known problem with Clang (that is still being worked on), but we can avoid the entire problem by actually checking the existing max chip ID, and now there is no runtime instrumentation added at all since everything is known to be within bounds. Additionally use an unsigned value for the shift to remove the instrumentation even without the explicit bounds checking. [hverkuil: fix checkpatch warning for is_tw286x] Уязвимость компонента solo6x10 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: fix type confusion in bond_setup_by_slave() kernel BUG at net/core/skbuff.c:2306! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI RIP: 0010:pskb_expand_head+0xa08/0xfe0 net/core/skbuff.c:2306 RSP: 0018:ffffc90004aff760 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff88807e3c8780 RCX: ffffffff89593e0e RDX: ffff88807b7c4900 RSI: ffffffff89594747 RDI: ffff88807b7c4900 RBP: 0000000000000820 R08: 0000000000000005 R09: 0000000000000000 R10: 00000000961a63e0 R11: 0000000000000000 R12: ffff88807e3c8780 R13: 00000000961a6560 R14: dffffc0000000000 R15: 00000000961a63e0 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fe1a0ed8df0 CR3: 000000002d816000 CR4: 00000000003526f0 Call Trace: <TASK> ipgre_header+0xdd/0x540 net/ipv4/ip_gre.c:900 dev_hard_header include/linux/netdevice.h:3439 [inline] packet_snd net/packet/af_packet.c:3028 [inline] packet_sendmsg+0x3ae5/0x53c0 net/packet/af_packet.c:3108 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa54/0xc30 net/socket.c:2592 ___sys_sendmsg+0x190/0x1e0 net/socket.c:2646 __sys_sendmsg+0x170/0x220 net/socket.c:2678 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x106/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fe1a0e6c1a9 When a non-Ethernet device (e.g. GRE tunnel) is enslaved to a bond, bond_setup_by_slave() directly copies the slave's header_ops to the bond device: bond_dev->header_ops = slave_dev->header_ops; This causes a type confusion when dev_hard_header() is later called on the bond device. Functions like ipgre_header(), ip6gre_header(),all use netdev_priv(dev) to access their device-specific private data. When called with the bond device, netdev_priv() returns the bond's private data (struct bonding) instead of the expected type (e.g. struct ip_tunnel), leading to garbage values being read and kernel crashes. Fix this by introducing bond_header_ops with wrapper functions that delegate to the active slave's header_ops using the slave's own device. This ensures netdev_priv() in the slave's header functions always receives the correct device. The fix is placed in the bonding driver rather than individual device drivers, as the root cause is bond blindly inheriting header_ops from the slave without considering that these callbacks expect a specific netdev_priv() layout. The type confusion can be observed by adding a printk in ipgre_header() and running the following commands: ip link add dummy0 type dummy ip addr add 10.0.0.1/24 dev dummy0 ip link set dummy0 up ip link add gre1 type gre local 10.0.0.1 ip link add bond1 type bond mode active-backup ip link set gre1 master bond1 ip link set gre1 up ip link set bond1 up ip addr add fe80::1/64 dev bond1 Уязвимость функции bond_setup_by_slave() компонента bonding driver ядра операционных систем Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bonding.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль bonding в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep bonding ``` или ``` kmod list | grep bonding ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля <название_модуля>.ko: ``` sudo rmmod bonding ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-your_module.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install bonding /bin/false ``` - сохранить файл. - 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/rds: reset op_nents when zerocopy page pin fails When iov_iter_get_pages2() fails in rds_message_zcopy_from_user(), the pinned pages are released with put_page(), and rm->data.op_mmp_znotifier is cleared. But we fail to properly clear rm->data.op_nents. Later when rds_message_purge() is called from rds_sendmsg() the cleanup loop iterates over the incorrectly non zero number of op_nents and frees them again. Fix this by properly resetting op_nents when it should be in rds_message_zcopy_from_user(). Уязвимость реализации сетевого протокола RDS ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и вызвать отказ в обслуживании [NistCWE(cwe='CWE-1341')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-43494 (PinTheft) необходимо запретить загрузку модулей rds_tcp.ko, rds.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули rds_tcp.ko, rds.ko в ядро системы, для этого выполнить одну из команд: `lsmod | grep rds_tcp; lsmod | grep rds` или `kmod list | grep rds_tcp; kmod list | grep rds` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить модуль: - команда для выгрузки модуля rds_tcp.ko: `sudo rmmod rds_tcp` - команда для выгрузки модуля rds.ko: `sudo rmmod rds` 2. Запретить загрузку модулей rds_tcp.ko, rds.ko: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-pintheft.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install rds_tcp /bin/false install rds /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` 4. Выполнить очистку кеша страниц оперативной памяти: `sudo sh -c "echo 3 > /proc/sys/vm/drop_caches"` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. **Дополнительные настройки** В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. Примечание. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. Примечание. Атрибут silev применяется в Astra Linux начиная с обновления х.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость PinTheft, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Also unshare DATA/RESPONSE packets when paged frags are present The DATA-packet handler in rxrpc_input_call_event() and the RESPONSE handler in rxrpc_verify_response() copy the skb to a linear one before calling into the security ops only when skb_cloned() is true. An skb that is not cloned but still carries externally-owned paged fragments (e.g. SKBFL_SHARED_FRAG set by splice() into a UDP socket via __ip_append_data, or a chained skb_has_frag_list()) falls through to the in-place decryption path, which binds the frag pages directly into the AEAD/skcipher SGL via skb_to_sgvec(). Extend the gate to also unshare when skb_has_frag_list() or skb_has_shared_frag() is true. This catches the splice-loopback vector and other externally-shared frag sources while preserving the zero-copy fast path for skbs whose frags are kernel-private (e.g. NIC page_pool RX, GRO). The OOM/trace handling already in place is reused. Уязвимость модуля RxRPC ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации уязвимостей CVE-2026-43284, CVE-2026-43500 (Dirty Frag) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: rpl: reserve mac_len headroom when recompressed SRH grows ipv6_rpl_srh_rcv() decompresses an RFC 6554 Source Routing Header, swaps the next segment into ipv6_hdr->daddr, recompresses, then pulls the old header and pushes the new one plus the IPv6 header back. The recompressed header can be larger than the received one when the swap reduces the common-prefix length the segments share with daddr (CmprI=0, CmprE>0, seg[0][0] != daddr[0] gives the maximum +8 bytes). pskb_expand_head() was gated on segments_left == 0, so on earlier segments the push consumed unchecked headroom. Once skb_push() leaves fewer than skb->mac_len bytes in front of data, skb_mac_header_rebuild()'s call to: skb_set_mac_header(skb, -skb->mac_len); will store (data - head) - mac_len into the u16 mac_header field, which wraps to ~65530, and the following memmove() writes mac_len bytes ~64KiB past skb->head. A single AF_INET6/SOCK_RAW/IPV6_HDRINCL packet over lo with a two segment type-3 SRH (CmprI=0, CmprE=15) reaches headroom 8 after one pass; KASAN reports a 14-byte OOB write in ipv6_rthdr_rcv. Fix this by expanding the head whenever the remaining room is less than the push size plus mac_len, and request that much extra so the rebuilt MAC header fits afterwards. Уязвимость функции ipv6_rpl_srh_rcv компонента RFC 6554 Source Routing Header Handler ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо установить sysctl параметр rpl_seg_enabled в 0 для всех сетевых интерфейсов. Для временного решения выполните следующие команды: ``` sudo sysctl -w net.ipv6.conf.all.rpl_seg_enabled=0 sudo sysctl -w net.ipv6.conf.default.rpl_seg_enabled=0 ``` Изменения будут применены сразу и сохранятся до следующей перезагрузки системы. Чтобы sysctl параметр rpl_seg_enabled устанавливался в 0 после загрузки системы, необходимо выполнить действия, описанные ниже. 1. Создать файл с настройками ядра командой: ``` echo "net.ipv6.conf.all.rpl_seg_enabled = 0" | sudo tee /etc/sysctl.d/99-rpl-disable.conf echo "net.ipv6.conf.default.rpl_seg_enabled = 0" | sudo tee -a /etc/sysctl.d/99-rpl-disable.conf ``` Примечание. Настройки, которые хранятся в файле /etc/sysctl.d/99-rpl-disable.conf, будут применяться при каждой загрузке системы. 2. Применить настройки ядра, которые хранятся в файле /etc/sysctl.d/99-rpl-disable.conf: ``` sudo sysctl -p /etc/sysctl.d/99-rpl-disable.conf ``` Проверить, что настройки ядра применяются после перезагрузки системы. Для этого выполнить действия, описанные ниже. 1. Перезагрузить систему: ``` sudo reboot ``` 2. Вывести значение параметра net.ipv6.conf.all.rpl_seg_enabled: ``` sudo sysctl net.ipv6.conf.all.rpl_seg_enabled ``` Ожидаемый вывод после выполнения команды: net.ipv6.conf.all.rpl_seg_enabled = 0 Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: skbuff: propagate shared-frag marker through frag-transfer helpers Two frag-transfer helpers (__pskb_copy_fclone() and skb_shift()) fail to propagate the SKBFL_SHARED_FRAG bit in skb_shinfo()->flags when moving frags from source to destination. __pskb_copy_fclone() defers the rest of the shinfo metadata to skb_copy_header() after copying frag descriptors, but that helper only carries over gso_{size,segs, type} and never touches skb_shinfo()->flags; skb_shift() moves frag descriptors directly and leaves flags untouched. As a result, the destination skb keeps a reference to the same externally-owned or page-cache-backed pages while reporting skb_has_shared_frag() as false. The mismatch is harmful in any in-place writer that uses skb_has_shared_frag() to decide whether shared pages must be detoured through skb_cow_data(). ESP input is one such writer (esp4.c, esp6.c), and a single nft 'dup to <local>' rule -- or any other nf_dup_ipv4() / xt_TEE caller -- is enough to land a pskb_copy()'d skb in esp_input() with the marker stripped, letting an unprivileged user write into the page cache of a root-owned read-only file via authencesn-ESN stray writes. Set SKBFL_SHARED_FRAG on the destination whenever frag descriptors were actually moved from the source. skb_copy() and skb_copy_expand() share skb_copy_header() too but linearize all paged data into freshly allocated head storage and emerge with nr_frags == 0, so skb_has_shared_frag() returns false on its own; they need no change. The same omission exists in skb_gro_receive() and skb_gro_receive_list(). The former moves the incoming skb's frag descriptors into the accumulator's last sub-skb via two paths (a direct frag-move loop and the head_frag + memcpy path); the latter chains the incoming skb whole onto p's frag_list. Downstream skb_segment() reads only skb_shinfo(p)->flags, and skb_segment_list() reuses each sub-skb's shinfo as the nskb -- both p and lp must carry the marker. The same omission also exists in tcp_clone_payload(), which builds an MTU probe skb by moving frag descriptors from skbs on sk_write_queue into a freshly allocated nskb. The helper falls into the same family and warrants the same fix for consistency; no TCP TX-side in-place writer is currently known to reach a user page through this gap, but a future consumer depending on the marker would regress silently. The same omission exists in skb_segment(): the per-iteration flag merge takes only head_skb's flag, and the inner switch that rebinds frag_skb to list_skb on head_skb-frags exhaustion does not fold the new frag_skb's flag into nskb. Fold frag_skb's flag at both sites so segments drawing frags from frag_list members carry the marker. Уязвимость сетевого компонента skbuff ядра операционных систем Linux связана с недостаточным контролем ресурса в период его существования. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-664')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации CVE-2026-46300 (Fragnesia) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-dirtyclone.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. **Примечание.** Атрибут silev применяется в Astra Linux начиная с обновления х.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость CVE-2026-46300, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 3.8 exim4 Exim before 4.99.3, in certain GnuTLS configurations, has a remotely reachable use-after-free in the BDAT body parsing path. It is triggered when a client sends a TLS close_notify mid-body during a CHUNKING transfer, followed by a final cleartext byte on the same TCP connection. This can lead to heap corruption. An unauthenticated network attacker exploiting this vulnerability could execute arbitrary code. Уязвимость почтового сервера Exim связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 3.8 python3.11 The webbrowser.open() API would accept leading dashes in the URL which could be handled as command line options for certain web browsers. New behavior rejects leading dashes. Users are recommended to sanitize URLs prior to passing to webbrowser.open(). Уязвимость интерпретатора языка программирования Python связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-88')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: remove WARN_ON_ONCE when accessing forward path array Although unlikely, recent support for IPIP tunnels increases chances of reaching this WARN_ON_ONCE if userspace manages to build a sufficiently long forward path. Remove it. Уязвимость модуля net ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix NULL sock in aa_sock_file_perm Deal with the potential that sock and sock-sk can be NULL during socket setup or teardown. This could lead to an oops. The fix for NULL pointer dereference in __unix_needs_revalidation shows this is at least possible for af_unix sockets. While the fix for af_unix sockets applies for newer mediation this is still the fall back path for older af_unix mediation and other sockets, so ensure it is covered. Уязвимость модуля apparmor ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: mscc: ocelot: add missing lock protection in ocelot_port_xmit_inj() ocelot_port_xmit_inj() calls ocelot_can_inject() and ocelot_port_inject_frame() without holding the injection group lock. Both functions contain lockdep_assert_held() for the injection lock, and the correct caller felix_port_deferred_xmit() properly acquires the lock using ocelot_lock_inj_grp() before calling these functions. Add ocelot_lock_inj_grp()/ocelot_unlock_inj_grp() around the register injection path to fix the missing lock protection. The FDMA path is not affected as it uses its own locking mechanism. Уязвимость ядра операционной системы Linux связана с отсутствием проверки блокировки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix double free in rxe_srq_from_init In rxe_srq_from_init(), the queue pointer 'q' is assigned to 'srq->rq.queue' before copying the SRQ number to user space. If copy_to_user() fails, the function calls rxe_queue_cleanup() to free the queue, but leaves the now-invalid pointer in 'srq->rq.queue'. The caller of rxe_srq_from_init() (rxe_create_srq) eventually calls rxe_srq_cleanup() upon receiving the error, which triggers a second rxe_queue_cleanup() on the same memory, leading to a double free. The call trace looks like this: kmem_cache_free+0x.../0x... rxe_queue_cleanup+0x1a/0x30 [rdma_rxe] rxe_srq_cleanup+0x42/0x60 [rdma_rxe] rxe_elem_release+0x31/0x70 [rdma_rxe] rxe_create_srq+0x12b/0x1a0 [rdma_rxe] ib_create_srq_user+0x9a/0x150 [ib_core] Fix this by moving 'srq->rq.queue = q' after copy_to_user. Уязвимость модуля rxe ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/uverbs: Validate wqe_size before using it in ib_uverbs_post_send ib_uverbs_post_send() uses cmd.wqe_size from userspace without any validation before passing it to kmalloc() and using the allocated buffer as struct ib_uverbs_send_wr. If a user provides a small wqe_size value (e.g., 1), kmalloc() will succeed, but subsequent accesses to user_wr->opcode, user_wr->num_sge, and other fields will read beyond the allocated buffer, resulting in an out-of-bounds read from kernel heap memory. This could potentially leak sensitive kernel information to userspace. Additionally, providing an excessively large wqe_size can trigger a WARNING in the memory allocation path, as reported by syzkaller. This is inconsistent with ib_uverbs_unmarshall_recv() which properly validates that wqe_size >= sizeof(struct ib_uverbs_recv_wr) before proceeding. Add the same validation for ib_uverbs_post_send() to ensure wqe_size is at least sizeof(struct ib_uverbs_send_wr). Уязвимость компонента uverbs_cmd.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: csiostor: Fix dereference of null pointer rn The error exit path when rn is NULL ends up deferencing the null pointer rn via the use of the macro CSIO_INC_STATS. Fix this by adding a new error return path label after the use of the macro to avoid the deference. Уязвимость компонента csio_scsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: increase the connection clean up limit to 64 After the optimization to only perform one GC per jiffy, a new problem was introduced. If more than 8 new connections are tracked per jiffy the list won't be cleaned up fast enough possibly reaching the limit wrongly. In order to prevent this issue, only skip the GC if it was already triggered during the same jiffy and the increment is lower than the clean up limit. In addition, increase the clean up limit to 64 connections to avoid triggering GC too often and do more effective GCs. This has been tested using a HTTP server and several performance tools while having nft_connlimit/xt_connlimit or OVS limit configured. Output of slowhttptest + OVS limit at 52000 connections: slow HTTP test status on 340th second: initializing: 0 pending: 432 connected: 51998 error: 0 closed: 0 service available: YES Уязвимость модуля nf_conncount ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Flush cache for PASID table before using it When writing the address of a freshly allocated zero-initialized PASID table to a PASID directory entry, do that after the CPU cache flush for this PASID table, not before it, to avoid the time window when this PASID table may be already used by non-coherent IOMMU hardware while its contents in RAM is still some random old data, not zero-initialized. Уязвимость компонента drivers/iommu/intel/pasid.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: prevent infinite loops caused by the next valid being the same When processing valid within the range [valid : pos), if valid cannot be retrieved correctly, for example, if the retrieved valid value is always the same, this can trigger a potential infinite loop, similar to the hung problem reported by syzbot [1]. Adding a check for the valid value within the loop body, and terminating the loop and returning -EINVAL if the value is the same as the current value, can prevent this. [1] INFO: task syz.4.21:6056 blocked for more than 143 seconds. Call Trace: rwbase_write_lock+0x14f/0x750 kernel/locking/rwbase_rt.c:244 inode_lock include/linux/fs.h:1027 [inline] ntfs_file_write_iter+0xe6/0x870 fs/ntfs3/file.c:1284 Уязвимость компонентов fs/ntfs3 ядра операционной системы Linux связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mctp i2c: initialise event handler read bytes Set a 0xff value for i2c reads of an mctp-i2c device. Otherwise reads will return "val" from the i2c bus driver. For i2c-aspeed and i2c-npcm7xx that is a stack uninitialised u8. Tested with "i2ctransfer -y 1 r10@0x34" where 0x34 is a mctp-i2c instance, now it returns all 0xff. Уязвимость компонента mctp-i2c.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: caif: fix use-after-free in caif_serial ldisc_close() There is a use-after-free bug in caif_serial where handle_tx() may access ser->tty after the tty has been freed. The race condition occurs between ldisc_close() and packet transmission: CPU 0 (close) CPU 1 (xmit) ------------- ------------ ldisc_close() tty_kref_put(ser->tty) [tty may be freed here] <-- race window --> caif_xmit() handle_tx() tty = ser->tty // dangling ptr tty->ops->write() // UAF! schedule_work() ser_release() unregister_netdevice() The root cause is that tty_kref_put() is called in ldisc_close() while the network device is still active and can receive packets. Since ser and tty have a 1:1 binding relationship with consistent lifecycles (ser is allocated in ldisc_open and freed in ser_release via unregister_netdevice, and each ser binds exactly one tty), we can safely defer the tty reference release to ser_release() where the network device is unregistered. Fix this by moving tty_kref_put() from ldisc_close() to ser_release(), after unregister_netdevice(). This ensures the tty reference is held as long as the network device exists, preventing the UAF. Note: We save ser->tty before unregister_netdevice() because ser is embedded in netdev's private data and will be freed along with netdev (needs_free_netdev = true). How to reproduce: Add mdelay(500) at the beginning of ldisc_close() to widen the race window, then run the reproducer program [1]. Note: There is a separate deadloop issue in handle_tx() when using PORT_UNKNOWN serial ports (e.g., /dev/ttyS3 in QEMU without proper serial backend). This deadloop exists even without this patch, and is likely caused by inconsistency between uart_write_room() and uart_write() in serial core. It has been addressed in a separate patch [2]. KASAN report: ================================================================== BUG: KASAN: slab-use-after-free in handle_tx+0x5d1/0x620 Read of size 1 at addr ffff8881131e1490 by task caif_uaf_trigge/9929 Call Trace: <TASK> dump_stack_lvl+0x10e/0x1f0 print_report+0xd0/0x630 kasan_report+0xe4/0x120 handle_tx+0x5d1/0x620 dev_hard_start_xmit+0x9d/0x6c0 __dev_queue_xmit+0x6e2/0x4410 packet_xmit+0x243/0x360 packet_sendmsg+0x26cf/0x5500 __sys_sendto+0x4a3/0x520 __x64_sys_sendto+0xe0/0x1c0 do_syscall_64+0xc9/0xf80 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f615df2c0d7 Allocated by task 9930: Freed by task 64: Last potentially related work creation: The buggy address belongs to the object at ffff8881131e1000 which belongs to the cache kmalloc-cg-2k of size 2048 The buggy address is located 1168 bytes inside of freed 2048-byte region [ffff8881131e1000, ffff8881131e1800) The buggy address belongs to the physical page: page_owner tracks the page as allocated page last free pid 9778 tgid 9778 stack trace: Memory state around the buggy address: ffff8881131e1380: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8881131e1400: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff8881131e1480: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8881131e1500: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8881131e1580: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== [1]: https://gist.github.com/mrpre/f683f244544f7b11e7fa87df9e6c2eeb [2]: https://lore.kernel.org/linux-serial/20260204074327.226165-1-jiayuan.chen@linux.dev/T/#u Уязвимость компонента caif_serial.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: act8945a: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента act8945a_charger.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: single: fix refcount leak in pcs_add_gpio_func() of_parse_phandle_with_args() returns a device_node pointer with refcount incremented in gpiospec.np. The loop iterates through all phandles but never releases the reference, causing a refcount leak on each iteration. Add of_node_put() calls to release the reference after extracting the needed arguments and on the error path when devm_kzalloc() fails. This bug was detected by our static analysis tool and verified by my code review. Уязвимость компонента pinctrl-single.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: wm97xx: Fix NULL pointer dereference in power_supply_changed() In `probe()`, `request_irq()` is called before allocating/registering a `power_supply` handle. If an interrupt is fired between the call to `request_irq()` and `power_supply_register()`, the `power_supply` handle will be used uninitialized in `power_supply_changed()` in `wm97xx_bat_update()` (triggered from the interrupt handler). This will lead to a `NULL` pointer dereference since Fix this racy `NULL` pointer dereference by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Since the IRQ is the last thing requests in the `probe()` now, remove the error path for freeing it. Instead add one for unregistering the `power_supply` handle when IRQ request fails. Уязвимость компонента wm97xx_battery.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: auth_gss: fix memory leaks in XDR decoding error paths The gssx_dec_ctx(), gssx_dec_status(), and gssx_dec_name() functions allocate memory via gssx_dec_buffer(), which calls kmemdup(). When a subsequent decode operation fails, these functions return immediately without freeing previously allocated buffers, causing memory leaks. The leak in gssx_dec_ctx() is particularly relevant because the caller (gssp_accept_sec_context_upcall) initializes several buffer length fields to non-zero values, resulting in memory allocation: struct gssx_ctx rctxh = { .exported_context_token.len = GSSX_max_output_handle_sz, .mech.len = GSS_OID_MAX_LEN, .src_name.display_name.len = GSSX_max_princ_sz, .targ_name.display_name.len = GSSX_max_princ_sz }; If, for example, gssx_dec_name() succeeds for src_name but fails for targ_name, the memory allocated for exported_context_token, mech, and src_name.display_name remains unreferenced and cannot be reclaimed. Add error handling with goto-based cleanup to free any previously allocated buffers before returning an error. Уязвимость модуля auth_gss ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tpm: st33zp24: Fix missing cleanup on get_burstcount() error get_burstcount() can return -EBUSY on timeout. When this happens, st33zp24_send() returns directly without releasing the locality acquired earlier. Use goto out_err to ensure proper cleanup when get_burstcount() fails. Уязвимость компонента st33zp24 ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: smartpqi: Fix memory leak in pqi_report_phys_luns() pqi_report_phys_luns() fails to release the rpl_list buffer when encountering an unsupported data format or when the allocation for rpl_16byte_wwid_list fails. These early returns bypass the cleanup logic, leading to memory leaks. Consolidate the error handling by adding an out_free_rpl_list label and use goto statements to ensure rpl_list is consistently freed on failure. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента smartpqi ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_rbtree: check for partial overlaps in anonymous sets Userspace provides an optimized representation in case intervals are adjacent, where the end element is omitted. The existing partial overlap detection logic skips anonymous set checks on start elements for this reason. However, it is possible to add intervals that overlap to this anonymous where two start elements with the same, eg. A-B, A-C where C < B. start end A B start end A C Restore the check on overlapping start elements to report an overlap. Уязвимость компонента nft_set_rbtree.c ядра операционной системы Linux связана с неправильной проверкой согласованности во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mfd: arizona: Fix regulator resource leak on wm5102_clear_write_sequencer() failure The wm5102_clear_write_sequencer() helper may return an error and just return, bypassing the cleanup sequence and causing regulators to remain enabled, leading to a resource leak. Change the direct return to jump to the err_reset label to properly free the resources. Уязвимость компонента arizona-core.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: bq25980: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента bq25980_charger.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: mediatek: svs: Fix memory leak in svs_enable_debug_write() In svs_enable_debug_write(), the buf allocated by memdup_user_nul() is leaked if kstrtoint() fails. Fix this by using __free(kfree) to automatically free buf, eliminating the need for explicit kfree() calls and preventing leaks. [Angelo: Added missing cleanup.h inclusion] Уязвимость компонента mtk-svs.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: sca3000: Fix a resource leak in sca3000_probe() spi->irq from request_threaded_irq() not released when iio_device_register() fails. Add an return value check and jump to a common error handler when iio_device_register() fails. Уязвимость функции sca3000_probe() компонента sca3000.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: cpcap-battery: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента cpcap-battery.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix bpf_xdp_store_bytes proto for read-only arg While making some maps in Cilium read-only from the BPF side, we noticed that the bpf_xdp_store_bytes proto is incorrect. In particular, the verifier was throwing the following error: ; ret = ctx_store_bytes(ctx, l3_off + offsetof(struct iphdr, saddr), &nat->address, 4, 0); 635: (79) r1 = *(u64 *)(r10 -144) ; R1=ctx() R10=fp0 fp-144=ctx() 636: (b4) w2 = 26 ; R2=26 637: (b4) w4 = 4 ; R4=4 638: (b4) w5 = 0 ; R5=0 639: (85) call bpf_xdp_store_bytes#190 write into map forbidden, value_size=6 off=0 size=4 nat comes from a BPF_F_RDONLY_PROG map, so R3 is a PTR_TO_MAP_VALUE. The verifier checks the helper's memory access to R3 in check_mem_size_reg, as it reaches ARG_CONST_SIZE argument. The third argument has expected type ARG_PTR_TO_UNINIT_MEM, which includes the MEM_WRITE flag. The verifier thus checks for a BPF_WRITE access on R3. Given R3 points to a read-only map, the check fails. Conversely, ARG_PTR_TO_UNINIT_MEM can also lead to the helper reading from uninitialized memory. This patch simply fixes the expected argument type to match that of bpf_skb_store_bytes. Уязвимость компонента net/core/filter.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xen-netback: reject zero-queue configuration from guest A malicious or buggy Xen guest can write "0" to the xenbus key "multi-queue-num-queues". The connect() function in the backend only validates the upper bound (requested_num_queues > xenvif_max_queues) but not zero, allowing requested_num_queues=0 to reach vzalloc(array_size(0, sizeof(struct xenvif_queue))), which triggers WARN_ON_ONCE(!size) in __vmalloc_node_range(). On systems with panic_on_warn=1, this allows a guest-to-host denial of service. The Xen network interface specification requires the queue count to be "greater than zero". Add a zero check to match the validation already present in xen-blkback, which has included this guard since its multi-queue support was added. Уязвимость компонента xen-netback ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix double free issue for tx spare buffer In hns3_set_ringparam(), a temporary copy (tmp_rings) of the ring structure is created for rollback. However, the tx_spare pointer in the original ring handle is incorrectly left pointing to the old backup memory. Later, if memory allocation fails in hns3_init_all_ring() during the setup, the error path attempts to free all newly allocated rings. Since tx_spare contains a stale (non-NULL) pointer from the backup, it is mistaken for a newly allocated buffer and is erroneously freed, leading to a double-free of the backup memory. The root cause is that the tx_spare field was not cleared after its value was saved in tmp_rings, leaving a dangling pointer. Fix this by setting tx_spare to NULL in the original ring structure when the creation of the new `tx_spare` fails. This ensures the error cleanup path only frees genuinely newly allocated buffers. Уязвимость компонента hns3 ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: bq256xx: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента bq256xx_charger.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/eeh: fix recursive pci_lock_rescan_remove locking in EEH event handling The recent commit 1010b4c012b0 ("powerpc/eeh: Make EEH driver device hotplug safe") restructured the EEH driver to improve synchronization with the PCI hotplug layer. However, it inadvertently moved pci_lock_rescan_remove() outside its intended scope in eeh_handle_normal_event(), leading to broken PCI error reporting and improper EEH event triggering. Specifically, eeh_handle_normal_event() acquired pci_lock_rescan_remove() before calling eeh_pe_bus_get(), but eeh_pe_bus_get() itself attempts to acquire the same lock internally, causing nested locking and disrupting normal EEH event handling paths. This patch adds a boolean parameter do_lock to _eeh_pe_bus_get(), with two public wrappers: eeh_pe_bus_get() with locking enabled. eeh_pe_bus_get_nolock() that skips locking. Callers that already hold pci_lock_rescan_remove() now use eeh_pe_bus_get_nolock() to avoid recursive lock acquisition. Additionally, pci_lock_rescan_remove() calls are restored to the correct position—after eeh_pe_bus_get() and immediately before iterating affected PEs and devices. This ensures EEH-triggered PCI removes occur under proper bus rescan locking without recursive lock contention. The eeh_pe_loc_get() function has been split into two functions: eeh_pe_loc_get(struct eeh_pe *pe) which retrieves the loc for given PE. eeh_pe_loc_get_bus(struct pci_bus *bus) which retrieves the location code for given bus. This resolves lockdep warnings such as: <snip> [ 84.964298] [ T928] ============================================ [ 84.964304] [ T928] WARNING: possible recursive locking detected [ 84.964311] [ T928] 6.18.0-rc3 #51 Not tainted [ 84.964315] [ T928] -------------------------------------------- [ 84.964320] [ T928] eehd/928 is trying to acquire lock: [ 84.964324] [ T928] c000000003b29d58 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_lock_rescan_remove+0x28/0x40 [ 84.964342] [ T928] but task is already holding lock: [ 84.964347] [ T928] c000000003b29d58 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_lock_rescan_remove+0x28/0x40 [ 84.964357] [ T928] other info that might help us debug this: [ 84.964363] [ T928] Possible unsafe locking scenario: [ 84.964367] [ T928] CPU0 [ 84.964370] [ T928] ---- [ 84.964373] [ T928] lock(pci_rescan_remove_lock); [ 84.964378] [ T928] lock(pci_rescan_remove_lock); [ 84.964383] [ T928] *** DEADLOCK *** [ 84.964388] [ T928] May be due to missing lock nesting notation [ 84.964393] [ T928] 1 lock held by eehd/928: [ 84.964397] [ T928] #0: c000000003b29d58 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_lock_rescan_remove+0x28/0x40 [ 84.964408] [ T928] stack backtrace: [ 84.964414] [ T928] CPU: 2 UID: 0 PID: 928 Comm: eehd Not tainted 6.18.0-rc3 #51 VOLUNTARY [ 84.964417] [ T928] Hardware name: IBM,9080-HEX POWER10 (architected) 0x800200 0xf000006 of:IBM,FW1060.00 (NH1060_022) hv:phyp pSeries [ 84.964419] [ T928] Call Trace: [ 84.964420] [ T928] [c0000011a7157990] [c000000001705de4] dump_stack_lvl+0xc8/0x130 (unreliable) [ 84.964424] [ T928] [c0000011a71579d0] [c0000000002f66e0] print_deadlock_bug+0x430/0x440 [ 84.964428] [ T928] [c0000011a7157a70] [c0000000002fd0c0] __lock_acquire+0x1530/0x2d80 [ 84.964431] [ T928] [c0000011a7157ba0] [c0000000002fea54] lock_acquire+0x144/0x410 [ 84.964433] [ T928] [c0000011a7157cb0] [c0000011a7157cb0] __mutex_lock+0xf4/0x1050 [ 84.964436] [ T928] [c0000011a7157e00] [c000000000de21d8] pci_lock_rescan_remove+0x28/0x40 [ 84.964439] [ T928] [c0000011a7157e20] [c00000000004ed98] eeh_pe_bus_get+0x48/0xc0 [ 84.964442] [ T928] [c0000011a7157e50] [c00000 ---truncated--- Уязвимость компонентов powerpc/eeh ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm: fix ip_rt_bug race in icmp_route_lookup reverse path icmp_route_lookup() performs multiple route lookups to find a suitable route for sending ICMP error messages, with special handling for XFRM (IPsec) policies. The lookup sequence is: 1. First, lookup output route for ICMP reply (dst = original src) 2. Pass through xfrm_lookup() for policy check 3. If blocked (-EPERM) or dst is not local, enter "reverse path" 4. In reverse path, call xfrm_decode_session_reverse() to get fl4_dec which reverses the original packet's flow (saddr<->daddr swapped) 5. If fl4_dec.saddr is local (we are the original destination), use __ip_route_output_key() for output route lookup 6. If fl4_dec.saddr is NOT local (we are a forwarding node), use ip_route_input() to simulate the reverse packet's input path 7. Finally, pass rt2 through xfrm_lookup() with XFRM_LOOKUP_ICMP flag The bug occurs in step 6: ip_route_input() is called with fl4_dec.daddr (original packet's source) as destination. If this address becomes local between the initial check and ip_route_input() call (e.g., due to concurrent "ip addr add"), ip_route_input() returns a LOCAL route with dst.output set to ip_rt_bug. This route is then used for ICMP output, causing dst_output() to call ip_rt_bug(), triggering a WARN_ON: ------------[ cut here ]------------ WARNING: net/ipv4/route.c:1275 at ip_rt_bug+0x21/0x30, CPU#1 Call Trace: <TASK> ip_push_pending_frames+0x202/0x240 icmp_push_reply+0x30d/0x430 __icmp_send+0x1149/0x24f0 ip_options_compile+0xa2/0xd0 ip_rcv_finish_core+0x829/0x1950 ip_rcv+0x2d7/0x420 __netif_receive_skb_one_core+0x185/0x1f0 netif_receive_skb+0x90/0x450 tun_get_user+0x3413/0x3fb0 tun_chr_write_iter+0xe4/0x220 ... Fix this by checking rt2->rt_type after ip_route_input(). If it's RTN_LOCAL, the route cannot be used for output, so treat it as an error. The reproducer requires kernel modification to widen the race window, making it unsuitable as a selftest. It is available at: https://gist.github.com/mrpre/eae853b72ac6a750f5d45d64ddac1e81 Уязвимость компонента net/ipv4/icmp.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: don't cache extent during splitting extent Caching extents during the splitting process is risky, as it may result in stale extents remaining in the status tree. Moreover, in most cases, the corresponding extent block entries are likely already cached before the split happens, making caching here not particularly useful. Assume we have an unwritten extent, and then DIO writes the first half. [UUUUUUUUUUUUUUUU] on-disk extent U: unwritten extent [UUUUUUUUUUUUUUUU] extent status tree |<- ->| ----> dio write this range First, when ext4_split_extent_at() splits this extent, it truncates the existing extent and then inserts a new one. During this process, this extent status entry may be shrunk, and calls to ext4_find_extent() and ext4_cache_extents() may occur, which could potentially insert the truncated range as a hole into the extent status tree. After the split is completed, this hole is not replaced with the correct status. [UUUUUUU|UUUUUUUU] on-disk extent U: unwritten extent [UUUUUUU|HHHHHHHH] extent status tree H: hole Then, the outer calling functions will not correct this remaining hole extent either. Finally, if we perform a delayed buffer write on this latter part, it will re-insert the delayed extent and cause an error in space accounting. In adition, if the unwritten extent cache is not shrunk during the splitting, ext4_cache_extents() also conflicts with existing extents when caching extents. In the future, we will add checks when caching extents, which will trigger a warning. Therefore, Do not cache extents that are being split. Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "hwmon: (ibmpex) fix use-after-free in high/low store" This reverts commit 6946c726c3f4c36f0f049e6f97e88c510b15f65d. Jean Delvare points out that the patch does not completely fix the reported problem, that it in fact introduces a (new) race condition, and that it may actually not be needed in the first place. Various AI reviews agree. Specific and relevant AI feedback: " This reordering sets the driver data to NULL before removing the sensor attributes in the loop below. ibmpex_show_sensor() retrieves this driver data via dev_get_drvdata() but does not check if it is NULL before dereferencing it to access data->sensors[]. If a userspace process reads a sensor file (like temp1_input) while this delete function is running, could it race with the dev_set_drvdata(..., NULL) call here and crash in ibmpex_show_sensor()? Would it be safer to keep the original order where device_remove_file() is called before clearing the driver data? device_remove_file() should wait for any active sysfs callbacks to complete, which might already prevent the use-after-free this patch intends to fix. " Revert the offending patch. If it can be shown that the originally reported alleged race condition does indeed exist, it can always be re-introduced with a complete fix. Уязвимость компонента drivers/hwmon/ibmpex.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fat: avoid parent link count underflow in rmdir Corrupted FAT images can leave a directory inode with an incorrect i_nlink (e.g. 2 even though subdirectories exist). rmdir then unconditionally calls drop_nlink(dir) and can drive i_nlink to 0, triggering the WARN_ON in drop_nlink(). Add a sanity check in vfat_rmdir() and msdos_rmdir(): only drop the parent link count when it is at least 3, otherwise report a filesystem error. Уязвимость модуля fat ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого FAT изображения [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: sbs-battery: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Keep the old behavior of just printing a warning in case of any failures during the IRQ request and finishing the probe successfully. Уязвимость компонента sbs-battery.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched/rt: Skip currently executing CPU in rto_next_cpu() CPU0 becomes overloaded when hosting a CPU-bound RT task, a non-CPU-bound RT task, and a CFS task stuck in kernel space. When other CPUs switch from RT to non-RT tasks, RT load balancing (LB) is triggered; with HAVE_RT_PUSH_IPI enabled, they send IPIs to CPU0 to drive the execution of rto_push_irq_work_func. During push_rt_task on CPU0, if next_task->prio < rq->donor->prio, resched_curr() sets NEED_RESCHED and after the push operation completes, CPU0 calls rto_next_cpu(). Since only CPU0 is overloaded in this scenario, rto_next_cpu() should ideally return -1 (no further IPI needed). However, multiple CPUs invoking tell_cpu_to_push() during LB increments rd->rto_loop_next. Even when rd->rto_cpu is set to -1, the mismatch between rd->rto_loop and rd->rto_loop_next forces rto_next_cpu() to restart its search from -1. With CPU0 remaining overloaded (satisfying rt_nr_migratory && rt_nr_total > 1), it gets reselected, causing CPU0 to queue irq_work to itself and send self-IPIs repeatedly. As long as CPU0 stays overloaded and other CPUs run pull_rt_tasks(), it falls into an infinite self-IPI loop, which triggers a CPU hardlockup due to continuous self-interrupts. The trigging scenario is as follows: cpu0 cpu1 cpu2 pull_rt_task tell_cpu_to_push <------------irq_work_queue_on rto_push_irq_work_func push_rt_task resched_curr(rq) pull_rt_task rto_next_cpu tell_cpu_to_push <-------------------------- atomic_inc(rto_loop_next) rd->rto_loop != next rto_next_cpu irq_work_queue_on rto_push_irq_work_func Fix redundant self-IPI by filtering the initiating CPU in rto_next_cpu(). This solution has been verified to effectively eliminate spurious self-IPIs and prevent CPU hardlockup scenarios. Уязвимость функции rto_next_cpu() компонента sched/rt.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: catc: enable basic endpoint checking catc_probe() fills three URBs with hardcoded endpoint pipes without verifying the endpoint descriptors: - usb_sndbulkpipe(usbdev, 1) and usb_rcvbulkpipe(usbdev, 1) for TX/RX - usb_rcvintpipe(usbdev, 2) for interrupt status A malformed USB device can present these endpoints with transfer types that differ from what the driver assumes. Add a catc_usb_ep enum for endpoint numbers, replacing magic constants throughout. Add usb_check_bulk_endpoints() and usb_check_int_endpoints() calls after usb_set_interface() to verify endpoint types before use, rejecting devices with mismatched descriptors at probe time. Similar to - commit 90b7f2961798 ("net: usb: rtl8150: enable basic endpoint checking") which fixed the issue in rtl8150. Уязвимость компонента drivers/net/usb/catc.c ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fix slab-out-of-bounds read in DeleteIndexEntryRoot In the 'DeleteIndexEntryRoot' case of the 'do_action' function, the entry size ('esize') is retrieved from the log record without adequate bounds checking. Specifically, the code calculates the end of the entry ('e2') using: e2 = Add2Ptr(e1, esize); It then calculates the size for memmove using 'PtrOffset(e2, ...)', which subtracts the end pointer from the buffer limit. If 'esize' is maliciously large, 'e2' exceeds the used buffer size. This results in a negative offset which, when cast to size_t for memmove, interprets as a massive unsigned integer, leading to a heap buffer overflow. This commit adds a check to ensure that the entry size ('esize') strictly fits within the remaining used space of the index header before performing memory operations. Уязвимость компонента fs/ntfs3/fslog.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: goldfish: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента goldfish_battery.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tpm: tpm_i2c_infineon: Fix locality leak on get_burstcount() failure get_burstcount() can return -EBUSY on timeout. When this happens, the function returns directly without releasing the locality that was acquired at the beginning of tpm_tis_i2c_send(). Use goto out_err to ensure proper cleanup when get_burstcount() fails. Уязвимость компонента tpm_i2c_infineon.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: ab8500: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Commit 1c1f13a006ed ("power: supply: ab8500: Move to componentized binding") introduced this issue during a refactorization. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента ab8500_charger.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix memory leak in ext4_ext_shift_extents() In ext4_ext_shift_extents(), if the extent is NULL in the while loop, the function returns immediately without releasing the path obtained via ext4_find_extent(), leading to a memory leak. Fix this by jumping to the out label to ensure the path is properly released. Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: au1200fb: Fix a memory leak in au1200fb_drv_probe() In au1200fb_drv_probe(), when platform_get_irq fails(), it directly returns from the function with an error code, which causes a memory leak. Replace it with a goto label to ensure proper cleanup. Уязвимость компонента au1200fb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: return error when node already exists in hfs_bnode_create When hfs_bnode_create() finds that a node is already hashed (which should not happen in normal operation), it currently returns the existing node without incrementing its reference count. This causes a reference count inconsistency that leads to a kernel panic when the node is later freed in hfs_bnode_put(): kernel BUG at fs/hfsplus/bnode.c:676! BUG_ON(!atomic_read(&node->refcnt)) This scenario can occur when hfs_bmap_alloc() attempts to allocate a node that is already in use (e.g., when node 0's bitmap bit is incorrectly unset), or due to filesystem corruption. Returning an existing node from a create path is not normal operation. Fix this by returning ERR_PTR(-EEXIST) instead of the node when it's already hashed. This properly signals the error condition to callers, which already check for IS_ERR() return values. Уязвимость компонента s/hfsplus/bnode.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ublk: Validate SQE128 flag before accessing the cmd ublk_ctrl_cmd_dump() accesses (header *)sqe->cmd before IO_URING_F_SQE128 flag check. This could cause out of boundary memory access. Move the SQE128 flag check earlier in ublk_ctrl_uring_cmd() to return -EINVAL immediately if the flag is not set. Уязвимость компонента drivers/block/ublk_drv.c ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: fix gss_auth kref leak in gss_alloc_msg error path Commit 5940d1cf9f42 ("SUNRPC: Rebalance a kref in auth_gss.c") added a kref_get(&gss_auth->kref) call to balance the gss_put_auth() done in gss_release_msg(), but forgot to add a corresponding kref_put() on the error path when kstrdup_const() fails. If service_name is non-NULL and kstrdup_const() fails, the function jumps to err_put_pipe_version which calls put_pipe_version() and kfree(gss_msg), but never releases the gss_auth reference. This leads to a kref leak where the gss_auth structure is never freed. Add a forward declaration for gss_free_callback() and call kref_put() in the err_put_pipe_version error path to properly release the reference taken earlier. Уязвимость компонента auth_gss.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix invalid deref of rawdata when export_binary is unset If the export_binary parameter is disabled on runtime, profiles that were loaded before that will still have their rawdata stored in apparmorfs, with a symbolic link to the rawdata on the policy directory. When one of those profiles are replaced, the rawdata is set to NULL, but when trying to resolve the symbolic links to rawdata for that profile, it will try to dereference profile->rawdata->name when profile->rawdata is now NULL causing an oops. Fix it by checking if rawdata is set. [ 168.653080] BUG: kernel NULL pointer dereference, address: 0000000000000088 [ 168.657420] #PF: supervisor read access in kernel mode [ 168.660619] #PF: error_code(0x0000) - not-present page [ 168.663613] PGD 0 P4D 0 [ 168.665450] Oops: Oops: 0000 [#1] SMP NOPTI [ 168.667836] CPU: 1 UID: 0 PID: 1729 Comm: ls Not tainted 6.19.0-rc7+ #3 PREEMPT(voluntary) [ 168.672308] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 168.679327] RIP: 0010:rawdata_get_link_base.isra.0+0x23/0x330 [ 168.682768] Code: 90 90 90 90 90 90 90 0f 1f 44 00 00 55 48 89 e5 41 57 41 56 41 55 41 54 53 48 83 ec 18 48 89 55 d0 48 85 ff 0f 84 e3 01 00 00 <48> 83 3c 25 88 00 00 00 00 0f 84 d4 01 00 00 49 89 f6 49 89 cc e8 [ 168.689818] RSP: 0018:ffffcdcb8200fb80 EFLAGS: 00010282 [ 168.690871] RAX: ffffffffaee74ec0 RBX: 0000000000000000 RCX: ffffffffb0120158 [ 168.692251] RDX: ffffcdcb8200fbe0 RSI: ffff88c187c9fa80 RDI: ffff88c186c98a80 [ 168.693593] RBP: ffffcdcb8200fbc0 R08: 0000000000000000 R09: 0000000000000000 [ 168.694941] R10: 0000000000000000 R11: 0000000000000000 R12: ffff88c186c98a80 [ 168.696289] R13: 00007fff005aaa20 R14: 0000000000000080 R15: ffff88c188f4fce0 [ 168.697637] FS: 0000790e81c58280(0000) GS:ffff88c20a957000(0000) knlGS:0000000000000000 [ 168.699227] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 168.700349] CR2: 0000000000000088 CR3: 000000012fd3e000 CR4: 0000000000350ef0 [ 168.701696] Call Trace: [ 168.702325] <TASK> [ 168.702995] rawdata_get_link_data+0x1c/0x30 [ 168.704145] vfs_readlink+0xd4/0x160 [ 168.705152] do_readlinkat+0x114/0x180 [ 168.706214] __x64_sys_readlink+0x1e/0x30 [ 168.708653] x64_sys_call+0x1d77/0x26b0 [ 168.709525] do_syscall_64+0x81/0x500 [ 168.710348] ? do_statx+0x72/0xb0 [ 168.711109] ? putname+0x3e/0x80 [ 168.711845] ? __x64_sys_statx+0xb7/0x100 [ 168.712711] ? x64_sys_call+0x10fc/0x26b0 [ 168.713577] ? do_syscall_64+0xbf/0x500 [ 168.714412] ? do_user_addr_fault+0x1d2/0x8d0 [ 168.715404] ? irqentry_exit+0xb2/0x740 [ 168.716359] ? exc_page_fault+0x90/0x1b0 [ 168.717307] entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость модуля apparmor ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpuidle: Skip governor when only one idle state is available On certain platforms (PowerNV systems without a power-mgt DT node), cpuidle may register only a single idle state. In cases where that single state is a polling state (state 0), the ladder governor may incorrectly treat state 1 as the first usable state and pass an out-of-bounds index. This can lead to a NULL enter callback being invoked, ultimately resulting in a system crash. [ 13.342636] cpuidle-powernv : Only Snooze is available [ 13.351854] Faulting instruction address: 0x00000000 [ 13.376489] NIP [0000000000000000] 0x0 [ 13.378351] LR [c000000001e01974] cpuidle_enter_state+0x2c4/0x668 Fix this by adding a bail-out in cpuidle_select() that returns state 0 directly when state_count <= 1, bypassing the governor and keeping the tick running. Уязвимость компонента drivers/cpuidle/cpuidle.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: playstation: Add missing check for input_ff_create_memless The ps_gamepad_create() function calls input_ff_create_memless() without verifying its return value, which can lead to incorrect behavior or potential crashes when FF effects are triggered. Add a check for the return value of input_ff_create_memless(). Уязвимость компонента drivers/hid/hid-playstation.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: alb: fix UAF in rlb_arp_recv during bond up/down The ALB RX path may access rx_hashtbl concurrently with bond teardown. During rapid bond up/down cycles, rlb_deinitialize() frees rx_hashtbl while RX handlers are still running, leading to a null pointer dereference detected by KASAN. However, the root cause is that rlb_arp_recv() can still be accessed after setting recv_probe to NULL, which is actually a use-after-free (UAF) issue. That is the reason for using the referenced commit in the Fixes tag. [ 214.174138] Oops: general protection fault, probably for non-canonical address 0xdffffc000000001d: 0000 [#1] SMP KASAN PTI [ 214.186478] KASAN: null-ptr-deref in range [0x00000000000000e8-0x00000000000000ef] [ 214.194933] CPU: 30 UID: 0 PID: 2375 Comm: ping Kdump: loaded Not tainted 6.19.0-rc8+ #2 PREEMPT(voluntary) [ 214.205907] Hardware name: Dell Inc. PowerEdge R730/0WCJNT, BIOS 2.14.0 01/14/2022 [ 214.214357] RIP: 0010:rlb_arp_recv+0x505/0xab0 [bonding] [ 214.220320] Code: 0f 85 2b 05 00 00 48 b8 00 00 00 00 00 fc ff df 40 0f b6 ed 48 c1 e5 06 49 03 ad 78 01 00 00 48 8d 7d 28 48 89 fa 48 c1 ea 03 <0f> b6 04 02 84 c0 74 06 0f 8e 12 05 00 00 80 7d 28 00 0f 84 8c 00 [ 214.241280] RSP: 0018:ffffc900073d8870 EFLAGS: 00010206 [ 214.247116] RAX: dffffc0000000000 RBX: ffff888168556822 RCX: ffff88816855681e [ 214.255082] RDX: 000000000000001d RSI: dffffc0000000000 RDI: 00000000000000e8 [ 214.263048] RBP: 00000000000000c0 R08: 0000000000000002 R09: ffffed11192021c8 [ 214.271013] R10: ffff8888c9010e43 R11: 0000000000000001 R12: 1ffff92000e7b119 [ 214.278978] R13: ffff8888c9010e00 R14: ffff888168556822 R15: ffff888168556810 [ 214.286943] FS: 00007f85d2d9cb80(0000) GS:ffff88886ccb3000(0000) knlGS:0000000000000000 [ 214.295966] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 214.302380] CR2: 00007f0d047b5e34 CR3: 00000008a1c2e002 CR4: 00000000001726f0 [ 214.310347] Call Trace: [ 214.313070] <IRQ> [ 214.315318] ? __pfx_rlb_arp_recv+0x10/0x10 [bonding] [ 214.320975] bond_handle_frame+0x166/0xb60 [bonding] [ 214.326537] ? __pfx_bond_handle_frame+0x10/0x10 [bonding] [ 214.332680] __netif_receive_skb_core.constprop.0+0x576/0x2710 [ 214.339199] ? __pfx_arp_process+0x10/0x10 [ 214.343775] ? sched_balance_find_src_group+0x98/0x630 [ 214.349513] ? __pfx___netif_receive_skb_core.constprop.0+0x10/0x10 [ 214.356513] ? arp_rcv+0x307/0x690 [ 214.360311] ? __pfx_arp_rcv+0x10/0x10 [ 214.364499] ? __lock_acquire+0x58c/0xbd0 [ 214.368975] __netif_receive_skb_one_core+0xae/0x1b0 [ 214.374518] ? __pfx___netif_receive_skb_one_core+0x10/0x10 [ 214.380743] ? lock_acquire+0x10b/0x140 [ 214.385026] process_backlog+0x3f1/0x13a0 [ 214.389502] ? process_backlog+0x3aa/0x13a0 [ 214.394174] __napi_poll.constprop.0+0x9f/0x370 [ 214.399233] net_rx_action+0x8c1/0xe60 [ 214.403423] ? __pfx_net_rx_action+0x10/0x10 [ 214.408193] ? lock_acquire.part.0+0xbd/0x260 [ 214.413058] ? sched_clock_cpu+0x6c/0x540 [ 214.417540] ? mark_held_locks+0x40/0x70 [ 214.421920] handle_softirqs+0x1fd/0x860 [ 214.426302] ? __pfx_handle_softirqs+0x10/0x10 [ 214.431264] ? __neigh_event_send+0x2d6/0xf50 [ 214.436131] do_softirq+0xb1/0xf0 [ 214.439830] </IRQ> The issue is reproducible by repeatedly running ip link set bond0 up/down while receiving ARP messages, where rlb_arp_recv() can race with rlb_deinitialize() and dereference a freed rx_hashtbl entry. Fix this by setting recv_probe to NULL and then calling synchronize_net() to wait for any concurrent RX processing to finish. This ensures that no RX handler can access rx_hashtbl after it is freed in bond_alb_deinitialize(). Уязвимость компонента bond_main.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix potential UAF and double free in smb2_open_file() Zero out @err_iov and @err_buftype before retrying SMB2_open() to prevent an UAF bug if @data != NULL, otherwise a double free. Уязвимость компонента fs/smb/client/smb2file.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix invalid leaf access in btrfs_quota_enable() if ref key not found If btrfs_search_slot_for_read() returns 1, it means we did not find any key greater than or equals to the key we asked for, meaning we have reached the end of the tree and therefore the path is not valid. If this happens we need to break out of the loop and stop, instead of continuing and accessing an invalid path. Уязвимость компонента fs/btrfs/qgroup.c ядра операционной системы Linux связана с недостатками обработки ошибочных ситуаций. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: greybus: lights: avoid NULL deref gb_lights_light_config() stores channel_count before allocating the channels array. If kcalloc() fails, gb_lights_release() iterates the non-zero count and dereferences light->channels, which is NULL. Allocate channels first and only then publish channels_count so the cleanup path can't walk a NULL pointer. Уязвимость компонента greybus/light.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/cio: Fix device lifecycle handling in css_alloc_subchannel() `css_alloc_subchannel()` calls `device_initialize()` before setting up the DMA masks. If `dma_set_coherent_mask()` or `dma_set_mask()` fails, the error path frees the subchannel structure directly, bypassing the device model reference counting. Once `device_initialize()` has been called, the embedded struct device must be released via `put_device()`, allowing the release callback to free the container structure. Fix the error path by dropping the initial device reference with `put_device()` instead of calling `kfree()` directly. This ensures correct device lifetime handling and avoids potential use-after-free or double-free issues. Уязвимость компонента drivers/s390/cio/css.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Fix NULL pointer dereference in acpi_ev_address_space_dispatch() Cover a missed execution path with a new check. Уязвимость компонента acpica/evregion.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: never defer requests during idmap lookup During v4 request compound arg decoding, some ops (e.g. SETATTR) can trigger idmap lookup upcalls. When those upcall responses get delayed beyond the allowed time limit, cache_check() will mark the request for deferral and cause it to be dropped. This prevents nfs4svc_encode_compoundres from being executed, and thus the session slot flag NFSD4_SLOT_INUSE never gets cleared. Subsequent client requests will fail with NFSERR_JUKEBOX, given that the slot will be marked as in-use, making the SEQUENCE op fail. Fix this by making sure that the RQ_USEDEFERRAL flag is always clear during nfs4svc_decode_compoundargs(), since no v4 request should ever be deferred. Уязвимость модуля nfsd ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix use-after-free in iomap inline data write path The inline data buffer head (dibh) is being released prematurely in gfs2_iomap_begin() via release_metapath() while iomap->inline_data still points to dibh->b_data. This causes a use-after-free when iomap_write_end_inline() later attempts to write to the inline data area. The bug sequence: 1. gfs2_iomap_begin() calls gfs2_meta_inode_buffer() to read inode metadata into dibh 2. Sets iomap->inline_data = dibh->b_data + sizeof(struct gfs2_dinode) 3. Calls release_metapath() which calls brelse(dibh), dropping refcount to 0 4. kswapd reclaims the page (~39ms later in the syzbot report) 5. iomap_write_end_inline() tries to memcpy() to iomap->inline_data 6. KASAN detects use-after-free write to freed memory Fix by storing dibh in iomap->private and incrementing its refcount with get_bh() in gfs2_iomap_begin(). The buffer is then properly released in gfs2_iomap_end() after the inline write completes, ensuring the page stays alive for the entire iomap operation. Note: A C reproducer is not available for this issue. The fix is based on analysis of the KASAN report and code review showing the buffer head is freed before use. [agruenba: Take buffer head reference in gfs2_iomap_begin() to avoid leaks in gfs2_iomap_get() and gfs2_iomap_alloc().] Уязвимость компонента fs/gfs2/bmap.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-826')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: reject userspace cifs.spnego descriptions cifs.spnego key descriptions contain authority-bearing fields such as pid, uid, creduid, and upcall_target that cifs.upcall treats as kernel-originating inputs. However, userspace can also create keys of this type through request_key(2) or add_key(2), allowing those fields to be supplied without CIFS origin. Only accept cifs.spnego descriptions while CIFS is using its private spnego_cred to request the key. Уязвимость функции cifs_get_spnego_key() инструмента cifs.upcall пакета cifs-utils ядра операционных систем Linux связана с отсутствием аутентификации для критичной функции. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root и выполнить произвольный код [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) Для нейтрализации угрозы эксплуатации уязвимости CVE-2026-46243 (CIFSwitch) необходимо применить один из приведенных способов. h3. 1 способ 1. Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: От имени администратора системы с высоким уровнем целостности выполнить команду ``` sysctl -w kernel.unprivileged_userns_clone=0 ``` 2. Для того, чтобы настройка всегда применялась после перезагрузки ОС, выполните команды ``` echo "kernel.unprivileged_userns_clone=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 3. Выполнить перезагрузку ОС 4. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` h3. 2 способ От имени администратора системы с высоким уровнем целостности отредактировать файл конфигурации */etc/request-key.d/cifs.spnego.conf* таким образом, чтобы не вызывался обработчик cifs.upcall. Для этого, если в файле уже существует правило cifs.spnego, то отредактируйте его следующим образом: ``` create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S ``` Если правило cifs.spnego отсутствует в файле, то добавьте его: ``` create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S ``` Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: qcom: gfx3d: add parent to parent request map After commit d228ece36345 ("clk: divider: remove round_rate() in favor of determine_rate()") determining GFX3D clock rate crashes, because the passed parent map doesn't provide the expected best_parent_hw clock (with the roundd_rate path before the offending commit the best_parent_hw was ignored). Set the field in parent_req in addition to setting it in the req, fixing the crash. clk_hw_round_rate (drivers/clk/clk.c:1764) (P) clk_divider_bestdiv (drivers/clk/clk-divider.c:336) divider_determine_rate (drivers/clk/clk-divider.c:358) clk_alpha_pll_postdiv_determine_rate (drivers/clk/qcom/clk-alpha-pll.c:1275) clk_core_determine_round_nolock (drivers/clk/clk.c:1606) clk_core_round_rate_nolock (drivers/clk/clk.c:1701) __clk_determine_rate (drivers/clk/clk.c:1741) clk_gfx3d_determine_rate (drivers/clk/qcom/clk-rcg2.c:1268) clk_core_determine_round_nolock (drivers/clk/clk.c:1606) clk_core_round_rate_nolock (drivers/clk/clk.c:1701) clk_core_round_rate_nolock (drivers/clk/clk.c:1710) clk_round_rate (drivers/clk/clk.c:1804) dev_pm_opp_set_rate (drivers/opp/core.c:1440 (discriminator 1)) msm_devfreq_target (drivers/gpu/drm/msm/msm_gpu_devfreq.c:51) devfreq_set_target (drivers/devfreq/devfreq.c:360) devfreq_update_target (drivers/devfreq/devfreq.c:426) devfreq_monitor (drivers/devfreq/devfreq.c:458) process_one_work (arch/arm64/include/asm/jump_label.h:36 include/trace/events/workqueue.h:110 kernel/workqueue.c:3284) worker_thread (kernel/workqueue.c:3356 (discriminator 2) kernel/workqueue.c:3443 (discriminator 2)) kthread (kernel/kthread.c:467) ret_from_fork (arch/arm64/kernel/entry.S:861) Уязвимость компонента clk-rcg2.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: Fix PF driver crash with kexec kernel booting During a kexec reboot the hardware is not power-cycled, so AF state from the old kernel can persist into the new kernel. When AF and PF drivers are built as modules, the PF driver may probe before AF reinitializes the hardware. The PF driver treats the RVUM block revision as an indication that AF initialization is complete. If this value is left uncleared at shutdown, PF may incorrectly assume AF is ready and access stale hardware state, leading to a crash. Clear the RVUM block revision during AF shutdown to avoid PF mis-detecting AF readiness after kexec. Уязвимость модуля octeontx2-af ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: MIPS: Work around LLVM bug when gp is used as global register variable On MIPS, __current_thread_info is defined as global register variable locating in $gp, and is simply assigned with new address during kernel relocation. This however is broken with LLVM, which always restores $gp if it finds $gp is clobbered in any form, including when intentionally through a global register variable. This is against GCC's documentation[1], which requires a callee-saved register used as global register variable not to be restored if it's clobbered. As a result, $gp will continue to point to the unrelocated kernel after the epilog of relocate_kernel(), leading to an early crash in init_idle, [ 0.000000] CPU 0 Unable to handle kernel paging request at virtual address 0000000000000000, epc == ffffffff81afada8, ra == ffffffff81afad90 [ 0.000000] Oops[#1]: [ 0.000000] CPU: 0 UID: 0 PID: 0 Comm: swapper Tainted: G W 6.19.0-rc5-00262-gd3eeb99bbc99-dirty #188 VOLUNTARY [ 0.000000] Tainted: [W]=WARN [ 0.000000] Hardware name: loongson,loongson64v-4core-virtio [ 0.000000] $ 0 : 0000000000000000 0000000000000000 0000000000000001 0000000000000000 [ 0.000000] $ 4 : ffffffff80b80ec0 ffffffff80b53d48 0000000000000000 00000000000f4240 [ 0.000000] $ 8 : 0000000000000100 ffffffff81d82f80 ffffffff81d82f80 0000000000000001 [ 0.000000] $12 : 0000000000000000 ffffffff81776f58 00000000000005da 0000000000000002 [ 0.000000] $16 : ffffffff80b80e40 0000000000000000 ffffffff80b81614 9800000005dfbe80 [ 0.000000] $20 : 00000000540000e0 ffffffff81980000 0000000000000000 ffffffff80f81c80 [ 0.000000] $24 : 0000000000000a26 ffffffff8114fb90 [ 0.000000] $28 : ffffffff80b50000 ffffffff80b53d40 0000000000000000 ffffffff81afad90 [ 0.000000] Hi : 0000000000000000 [ 0.000000] Lo : 0000000000000000 [ 0.000000] epc : ffffffff81afada8 init_idle+0x130/0x270 [ 0.000000] ra : ffffffff81afad90 init_idle+0x118/0x270 [ 0.000000] Status: 540000e2 KX SX UX KERNEL EXL [ 0.000000] Cause : 00000008 (ExcCode 02) [ 0.000000] BadVA : 0000000000000000 [ 0.000000] PrId : 00006305 (ICT Loongson-3) [ 0.000000] Process swapper (pid: 0, threadinfo=(____ptrval____), task=(____ptrval____), tls=0000000000000000) [ 0.000000] Stack : 9800000005dfbf00 ffffffff8178e950 0000000000000000 0000000000000000 [ 0.000000] 0000000000000000 ffffffff81970000 000000000000003f ffffffff810a6528 [ 0.000000] 0000000000000001 9800000005dfbe80 9800000005dfbf00 ffffffff81980000 [ 0.000000] ffffffff810a6450 ffffffff81afb6c0 0000000000000000 ffffffff810a2258 [ 0.000000] ffffffff81d82ec8 ffffffff8198d010 ffffffff81b67e80 ffffffff8197dd98 [ 0.000000] ffffffff81d81c80 ffffffff81930000 0000000000000040 0000000000000000 [ 0.000000] 0000000000000000 0000000000000000 0000000000000000 0000000000000000 [ 0.000000] 0000000000000000 000000000000009e ffffffff9fc01000 0000000000000000 [ 0.000000] 0000000000000000 0000000000000000 0000000000000000 0000000000000000 [ 0.000000] 0000000000000000 ffffffff81ae86dc ffffffff81b3c741 0000000000000002 [ 0.000000] ... [ 0.000000] Call Trace: [ 0.000000] [<ffffffff81afada8>] init_idle+0x130/0x270 [ 0.000000] [<ffffffff81afb6c0>] sched_init+0x5c8/0x6c0 [ 0.000000] [<ffffffff81ae86dc>] start_kernel+0x27c/0x7a8 This bug has been reported to LLVM[2] and affects version from (at least) 18 to 21. Let's work around this by using inline assembly to assign $gp before a fix is widely available. Уязвимость компонента arch/mips/kernel/relocate.c ядра операционной системы Linux связана с смещением указателя за границы выделенной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix block_group_tree dirty_list corruption When the incompat flag EXTENT_TREE_V2 is set, we unconditionally add the block group tree to the switch_commits list before calling switch_commit_roots, as we do for the tree root and the chunk root. However, the block group tree uses normal root dirty tracking and in any transaction that does an allocation and dirties a block group, the block group root will already be linked to a list by the dirty_list field and this use of list_add_tail() is invalid and corrupts the prev/next members of block_group_root->dirty_list. This is apparent on a subsequent list_del on the prev if we enable CONFIG_DEBUG_LIST: [32.1571] ------------[ cut here ]------------ [32.1572] list_del corruption. next->prev should beffff958890202538, but was ffff9588992bd538. (next=ffff958890201538) [32.1575] WARNING: lib/list_debug.c:65 at 0x0, CPU#3: sync/607 [32.1583] CPU: 3 UID: 0 PID: 607 Comm: sync Not tainted 6.18.0 #24PREEMPT(none) [32.1585] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS1.17.0-4.fc41 04/01/2014 [32.1587] RIP: 0010:__list_del_entry_valid_or_report+0x108/0x120 [32.1593] RSP: 0018:ffffaa288287fdd0 EFLAGS: 00010202 [32.1594] RAX: 0000000000000001 RBX: ffff95889326e800 RCX:ffff958890201538 [32.1596] RDX: ffff9588992bd538 RSI: ffff958890202538 RDI:ffffffff82a41e00 [32.1597] RBP: ffff958890202538 R08: ffffffff828fc1e8 R09:00000000ffffefff [32.1599] R10: ffffffff8288c200 R11: ffffffff828e4200 R12:ffff958890201538 [32.1601] R13: ffff95889326e958 R14: ffff958895c24000 R15:ffff958890202538 [32.1603] FS: 00007f0c28eb5740(0000) GS:ffff958af2bd2000(0000)knlGS:0000000000000000 [32.1605] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [32.1607] CR2: 00007f0c28e8a3cc CR3: 0000000109942005 CR4:0000000000370ef0 [32.1609] Call Trace: [32.1610] <TASK> [32.1611] switch_commit_roots+0x82/0x1d0 [btrfs] [32.1615] btrfs_commit_transaction+0x968/0x1550 [btrfs] [32.1618] ? btrfs_attach_transaction_barrier+0x23/0x60 [btrfs] [32.1621] __iterate_supers+0xe8/0x190 [32.1622] ? __pfx_sync_fs_one_sb+0x10/0x10 [32.1623] ksys_sync+0x63/0xb0 [32.1624] __do_sys_sync+0xe/0x20 [32.1625] do_syscall_64+0x73/0x450 [32.1626] entry_SYSCALL_64_after_hwframe+0x76/0x7e [32.1627] RIP: 0033:0x7f0c28d05d2b [32.1632] RSP: 002b:00007ffc9d988048 EFLAGS: 00000246 ORIG_RAX:00000000000000a2 [32.1634] RAX: ffffffffffffffda RBX: 00007ffc9d988228 RCX:00007f0c28d05d2b [32.1636] RDX: 00007f0c28e02301 RSI: 00007ffc9d989b21 RDI:00007f0c28dba90d [32.1637] RBP: 0000000000000001 R08: 0000000000000001 R09:0000000000000000 [32.1639] R10: 0000000000000000 R11: 0000000000000246 R12:000055b96572cb80 [32.1641] R13: 000055b96572b19f R14: 00007f0c28dfa434 R15:000055b96572b034 [32.1643] </TASK> [32.1644] irq event stamp: 0 [32.1644] hardirqs last enabled at (0): [<0000000000000000>] 0x0 [32.1646] hardirqs last disabled at (0): [<ffffffff81298817>]copy_process+0xb37/0x2260 [32.1648] softirqs last enabled at (0): [<ffffffff81298817>]copy_process+0xb37/0x2260 [32.1650] softirqs last disabled at (0): [<0000000000000000>] 0x0 [32.1652] ---[ end trace 0000000000000000 ]--- Furthermore, this list corruption eventually (when we happen to add a new block group) results in getting the switch_commits and dirty_cowonly_roots lists mixed up and attempting to call update_root on the tree root which can't be found in the tree root, resulting in a transaction abort: [87.8269] BTRFS critical (device nvme1n1): unable to find root key (1 0 0) in tree 1 [87.8272] ------------[ cut here ]------------ [87.8274] BTRFS: Transaction aborted (error -117) [87.8275] WARNING: fs/btrfs/root-tree.c:153 at 0x0, CPU#4: sync/703 [87.8285] CPU: 4 UID: 0 PID: 703 Comm: sync Not tainted 6.18.0 #25 PREEMPT(none) [87.8287] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-4.fc41 0 ---truncated--- Уязвимость компонента fs/btrfs/transaction.c ядра операционной системы Linux связана с неверным обращением с элементами конструкции. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pstore/ram: fix buffer overflow in persistent_ram_save_old() persistent_ram_save_old() can be called multiple times for the same persistent_ram_zone (e.g., via ramoops_pstore_read -> ramoops_get_next_prz for PSTORE_TYPE_DMESG records). Currently, the function only allocates prz->old_log when it is NULL, but it unconditionally updates prz->old_log_size to the current buffer size and then performs memcpy_fromio() using this new size. If the buffer size has grown since the first allocation (which can happen across different kernel boot cycles), this leads to: 1. A heap buffer overflow (OOB write) in the memcpy_fromio() calls 2. A subsequent OOB read when ramoops_pstore_read() accesses the buffer using the incorrect (larger) old_log_size The KASAN splat would look similar to: BUG: KASAN: slab-out-of-bounds in ramoops_pstore_read+0x... Read of size N at addr ... by task ... The conditions are likely extremely hard to hit: 0. Crash with a ramoops write of less-than-record-max-size bytes. 1. Reboot: ramoops registers, pstore_get_records(0) reads old crash, allocates old_log with size X 2. Crash handler registered, timer started (if pstore_update_ms >= 0) 3. Oops happens (non-fatal, system continues) 4. pstore_dump() writes oops via ramoops_pstore_write() size Y (>X) 5. pstore_new_entry = 1, pstore_timer_kick() called 6. System continues running (not a panic oops) 7. Timer fires after pstore_update_ms milliseconds 8. pstore_timefunc() → schedule_work() → pstore_dowork() → pstore_get_records(1) 9. ramoops_get_next_prz() → persistent_ram_save_old() 10. buffer_size() returns Y, but old_log is X bytes 11. Y > X: memcpy_fromio() overflows heap Requirements: - a prior crash record exists that did not fill the record size (almost impossible since the crash handler writes as much as it can possibly fit into the record, capped by max record size and the kmsg buffer almost always exceeds the max record size) - pstore_update_ms >= 0 (disabled by default) - Non-fatal oops (system survives) Free and reallocate the buffer when the new size differs from the previously allocated size. This ensures old_log always has sufficient space for the data being copied. Уязвимость компонента fs/pstore/ram_core.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: procfs: fix missing RCU protection when reading real_parent in do_task_stat() When reading /proc/[pid]/stat, do_task_stat() accesses task->real_parent without proper RCU protection, which leads to: cpu 0 cpu 1 ----- ----- do_task_stat var = task->real_parent release_task call_rcu(delayed_put_task_struct) task_tgid_nr_ns(var) rcu_read_lock <--- Too late to protect task->real_parent! task_pid_ptr <--- UAF! rcu_read_unlock This patch uses task_ppid_nr_ns() instead of task_tgid_nr_ns() to add proper RCU protection for accessing task->real_parent. Уязвимость компонента fs/proc/array.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: fsl_xcvr: Revert fix missing lock in fsl_xcvr_mode_put() This reverts commit f51424872760 ("ASoC: fsl_xcvr: fix missing lock in fsl_xcvr_mode_put()"). The original patch attempted to acquire the card->controls_rwsem lock in fsl_xcvr_mode_put(). However, this function is called from the upper ALSA core function snd_ctl_elem_write(), which already holds the write lock on controls_rwsem for the whole put operation. So there is no need to simply hold the lock for fsl_xcvr_activate_ctl() again. Acquiring the read lock while holding the write lock in the same thread results in a deadlock and a hung task, as reported by Alexander Stein. Уязвимость компонента fsl_xcvr.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix WQ_MEM_RECLAIM warning When sunrpc is used, if a reset triggered, our wq may lead the following trace: workqueue: WQ_MEM_RECLAIM xprtiod:xprt_rdma_connect_worker [rpcrdma] is flushing !WQ_MEM_RECLAIM hns_roce_irq_workq:flush_work_handle [hns_roce_hw_v2] WARNING: CPU: 0 PID: 8250 at kernel/workqueue.c:2644 check_flush_dependency+0xe0/0x144 Call trace: check_flush_dependency+0xe0/0x144 start_flush_work.constprop.0+0x1d0/0x2f0 __flush_work.isra.0+0x40/0xb0 flush_work+0x14/0x30 hns_roce_v2_destroy_qp+0xac/0x1e0 [hns_roce_hw_v2] ib_destroy_qp_user+0x9c/0x2b4 rdma_destroy_qp+0x34/0xb0 rpcrdma_ep_destroy+0x28/0xcc [rpcrdma] rpcrdma_ep_put+0x74/0xb4 [rpcrdma] rpcrdma_xprt_disconnect+0x1d8/0x260 [rpcrdma] xprt_rdma_connect_worker+0xc0/0x120 [rpcrdma] process_one_work+0x1cc/0x4d0 worker_thread+0x154/0x414 kthread+0x104/0x144 ret_from_fork+0x10/0x18 Since QP destruction frees memory, this wq should have the WQ_MEM_RECLAIM. Уязвимость компонента hns_roce_hw_v2.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: hci: shdlc: Stop timers and work before freeing context llc_shdlc_deinit() purges SHDLC skb queues and frees the llc_shdlc structure while its timers and state machine work may still be active. Timer callbacks can schedule sm_work, and sm_work accesses SHDLC state and the skb queues. If teardown happens in parallel with a queued/running work item, it can lead to UAF and other shutdown races. Stop all SHDLC timers and cancel sm_work synchronously before purging the queues and freeing the context. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента hci/llc_shdlc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: rt9455: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента rt9455_charger.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: skbuff: preserve shared-frag marker during coalescing skb_try_coalesce() can attach paged frags from @from to @to. If @from has SKBFL_SHARED_FRAG set, the resulting @to skb can contain the same externally-owned or page-cache-backed frags, but the shared-frag marker is currently lost. That breaks the invariant relied on by later in-place writers. In particular, ESP input checks skb_has_shared_frag() before deciding whether an uncloned nonlinear skb can skip skb_cow_data(). If TCP receive coalescing has moved shared frags into an unmarked skb, ESP can see skb_has_shared_frag() as false and decrypt in place over page-cache backed frags. Propagate SKBFL_SHARED_FRAG when skb_try_coalesce() transfers paged frags. The tailroom copy path does not need the marker because it copies bytes into @to's linear data rather than transferring frag descriptors. Уязвимость функции skb_try_coalesce() ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации CVE-2026-46300 (Fragnesia) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. **Примечание.** Атрибут silev применяется в Astra Linux начиная с обновления х.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость CVE-2026-46300, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: gro: don't merge zcopy skbs skb_gro_receive() can currently copy frags between the source and GRO skb, without checking the zerocopy status, and in particular the SKBFL_MANAGED_FRAG_REFS flag. When SKBFL_MANAGED_FRAG_REFS is set, the skb doesn't hold a reference on the pages in shinfo->frags. Appending those frags to another skb's frags without fixing up the page refcount can lead to UAF. When either the last skb in the GRO chain (the one we would append frags to) or the source skb is zerocopy, don't merge the skbs. Уязвимость компонента net/core/gro.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. Для устранения угрозы эксплуатации уязвимости CVE-2026-46323 (GRO Frag) в качестве временной меры до установки исправленного ядра нужно ограничить вектор атаки через sysctl, для этого выполните команду:   ``` sudo sysctl -w kernel.io_uring_disabled=2 ``` Данная команда мгновенно установит запрет для всех пользователей, включая привилегированные процессы. 2. В качестве постоянной меры до установки исправленного ядра нужно настроить постоянное отключение через файл: ``` echo "kernel.io_uring_disabled=2" | sudo tee /etc/sysctl.d/99-io-uring-disable.conf ``` 3. Примените и настройте автоматическую загрузку: ``` sudo sysctl -p /etc/sysctl.d/99-io-uring-disable.conf ``` 4. Перезагрузите систему: ``` sudo reboot ``` 5. После перезагрузки выполните команду проверки. Параметр 2 должен подтвердить, что настройка активна: ``` sudo sysctl kernel.io_uring_disabled ``` Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix rlimit for posix cpu timers Posix cpu timers requires an additional step beyond setting the rlimit. Refactor the code so its clear when what code is setting the limit and conditionally update the posix cpu timers when appropriate. Уязвимость компонента apparmor/resource.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ptrace: slightly saner 'get_dumpable()' logic The 'dumpability' of a task is fundamentally about the memory image of the task - the concept comes from whether it can core dump or not - and makes no sense when you don't have an associated mm. And almost all users do in fact use it only for the case where the task has a mm pointer. But we have one odd special case: ptrace_may_access() uses 'dumpable' to check various other things entirely independently of the MM (typically explicitly using flags like PTRACE_MODE_READ_FSCREDS). Including for threads that no longer have a VM (and maybe never did, like most kernel threads). It's not what this flag was designed for, but it is what it is. The ptrace code does check that the uid/gid matches, so you do have to be uid-0 to see kernel thread details, but this means that the traditional "drop capabilities" model doesn't make any difference for this all. Make it all make a *bit* more sense by saying that if you don't have a MM pointer, we'll use a cached "last dumpability" flag if the thread ever had a MM (it will be zero for kernel threads since it is never set), and require a proper CAP_SYS_PTRACE capability to override. Уязвимость функции get_dumpable() ядра операционной системы Linux связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-269'), NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) 1. Для проверки актуальности уязвимости просмотрите значение параметра kernel.yama.ptrace_scope: ``` cat /proc/sys/kernel/yama/ptrace_scope ``` Если значение параметра kernel.yama.ptrace_scope равно 2 или 3, то уязвимость не актуальна. В противном случае - значение параметра kernel.yama.ptrace_scope равно 0 или 1 - уязвимость актуальна. 2. При любом значении параметра kernel.yama.ptrace_scope рекомендуется включить механизм astra-ptrace-lock. От имени администратора системы с высоким уровнем целостности выполните в терминале следующую команду: ``` sudo astra-ptrace-lock enable ``` 3. Перезагрузите ОС. 4. Проверить корректное состояние после включения механизма: ``` sudo astra-ptrace-lock status ``` Результатом команды должно быть "АКТИВНО". ``` sudo astra-ptrace-lock is-enabled ``` Результатом команды должно быть "ВКЛЮЧЕНО". Astra Linux 3.8 tiff A flaw was found in the libtiff library. A remote attacker could exploit a signed integer overflow vulnerability in the putcontig8bitYCbCr44tile function by providing a specially crafted TIFF file. This flaw can lead to an out-of-bounds heap write due to incorrect memory pointer calculations, potentially causing a denial of service (application crash) or arbitrary code execution. Уязвимость функции DECLAREContigPutFunc() библиотеки LibTIFF связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного TIFF файла [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 3.8 libcap2 A flaw was found in libcap. A local unprivileged user can exploit a Time-of-check-to-time-of-use (TOCTOU) race condition in the `cap_set_file()` function. This allows an attacker with write access to a parent directory to redirect file capability updates to an attacker-controlled file. By doing so, capabilities can be injected into or stripped from unintended executables, leading to privilege escalation. Уязвимость функции cap_set_file() библиотеки POSIX 1003.1e Libcap2 связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) Astra Linux 3.8 firewalld A flaw was found in firewalld. A local unprivileged user can exploit this vulnerability by mis-authorizing two runtime D-Bus (Desktop Bus) setters, setZoneSettings2 and setPolicySettings. This mis-authorization allows the user to modify the runtime firewall state without proper authentication, leading to unauthorized changes in network security configurations. Уязвимость программы для настройки межсетевого экрана Firewalld связана с неправильным разрешением на исполнение. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-279')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) Astra Linux 3.8 gdk-pixbuf A flaw was found in the gdk-pixbuf library. This heap-based buffer overflow vulnerability occurs in the JPEG image loader due to improper validation of color component counts when processing a specially crafted JPEG image. A remote attacker can exploit this flaw without user interaction, for example, via thumbnail generation. Successful exploitation leads to application crashes and denial of service (DoS) conditions. Уязвимость библиотеки загрузки изображений GdkPixbuf связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного JPEG изображения [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Избегать открытия или обработки ненадежных файлов изображений JPEG - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с изображениями, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать приложения, использующие gdk-pixbuf, на низком уровне целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить права редактирования конфигурационных файлов gdk-pixbuf исключительно группе root. - Выполнять регламентный контроль целостности критических компонентов gdk-pixbuf в рамках замкнутой программной среды. Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "wireguard: device: enable threaded NAPI" This reverts commit 933466fc50a8e4eb167acbd0d8ec96a078462e9c which is commit db9ae3b6b43c79b1ba87eea849fd65efa05b4b2e upstream. We have had three independent production user reports in combination with Cilium utilizing WireGuard as encryption underneath that k8s Pod E/W traffic to certain peer nodes fully stalled. The situation appears as follows: - Occurs very rarely but at random times under heavy networking load. - Once the issue triggers the decryption side stops working completely for that WireGuard peer, other peers keep working fine. The stall happens also for newly initiated connections towards that particular WireGuard peer. - Only the decryption side is affected, never the encryption side. - Once it triggers, it never recovers and remains in this state, the CPU/mem on that node looks normal, no leak, busy loop or crash. - bpftrace on the affected system shows that wg_prev_queue_enqueue fails, thus the MAX_QUEUED_PACKETS (1024 skbs!) for the peer's rx_queue is reached. - Also, bpftrace shows that wg_packet_rx_poll for that peer is never called again after reaching this state for that peer. For other peers wg_packet_rx_poll does get called normally. - Commit db9ae3b ("wireguard: device: enable threaded NAPI") switched WireGuard to threaded NAPI by default. The default has not been changed for triggering the issue, neither did CPU hotplugging occur (i.e. 5bd8de2 ("wireguard: queueing: always return valid online CPU in wg_cpumask_choose_online()")). - The issue has been observed with stable kernels of v5.15 as well as v6.1. It was reported to us that v5.10 stable is working fine, and no report on v6.6 stable either (somewhat related discussion in [0] though). - In the WireGuard driver the only material difference between v5.10 stable and v5.15 stable is the switch to threaded NAPI by default. [0] https://lore.kernel.org/netdev/CA+wXwBTT74RErDGAnj98PqS=wvdh8eM1pi4q6tTdExtjnokKqA@mail.gmail.com/ Breakdown of the problem: 1) skbs arriving for decryption are enqueued to the peer->rx_queue in wg_packet_consume_data via wg_queue_enqueue_per_device_and_peer. 2) The latter only moves the skb into the MPSC peer queue if it does not surpass MAX_QUEUED_PACKETS (1024) which is kept track in an atomic counter via wg_prev_queue_enqueue. 3) In case enqueueing was successful, the skb is also queued up in the device queue, round-robin picks a next online CPU, and schedules the decryption worker. 4) The wg_packet_decrypt_worker, once scheduled, picks these up from the queue, decrypts the packets and once done calls into wg_queue_enqueue_per_peer_rx. 5) The latter updates the state to PACKET_STATE_CRYPTED on success and calls napi_schedule on the per peer->napi instance. 6) NAPI then polls via wg_packet_rx_poll. wg_prev_queue_peek checks on the peer->rx_queue. It will wg_prev_queue_dequeue if the queue->peeked skb was not cached yet, or just return the latter otherwise. (wg_prev_queue_drop_peeked later clears the cache.) 7) From an ordering perspective, the peer->rx_queue has skbs in order while the device queue with the per-CPU worker threads from a global ordering PoV can finish the decryption and signal the skb PACKET_STATE_CRYPTED out of order. 8) A situation can be observed that the first packet coming in will be stuck waiting for the decryption worker to be scheduled for a longer time when the system is under pressure. 9) While this is the case, the other CPUs in the meantime finish decryption and call into napi_schedule. 10) Now in wg_packet_rx_poll it picks up the first in-order skb from the peer->rx_queue and sees that its state is still PACKET_STATE_UNCRYPTED. The NAPI poll routine then exits e ---truncated--- Уязвимость компонента drivers/net/wireguard/device.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 sssd A flaw was found in the System Security Services Daemon (SSSD). The pam_passkey_child_read_data() function within the PAM passkey responder fails to properly handle raw bytes received from a pipe. Because the data is treated as a NUL-terminated C string without explicit termination, it results in an out-of-bounds read when processed by functions like snprintf(). A local attacker could potentially trigger this vulnerability by initiating a crafted passkey authentication request, causing the SSSD PAM responder to crash, resulting in a local Denial of Service (DoS). Уязвимость функции pam_passkey_child_read_data() компонента src/responder/pam/pamsrv_passkey.c сервиса управления доступом к удаленным каталогам и механизма аутентификации SSSD связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-805')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) sssd: - Запускайте SSSD с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам SSSD так, чтобы их могли изменять только администраторы системы. - Убедитесь, что все соединения с серверами аутентификации (например, LDAP) зашифрованы с использованием TLS/SSL. - Настройте SSSD для работы только с надежными и проверенными источниками аутентификации. - Если возможно, настройте MFA для дополнительного уровня безопасности. - Отказаться от использования ПО sssd в пользу ПО samba Astra Linux 3.8 binutils A flaw was found in binutils. A heap-buffer-overflow vulnerability exists when processing a specially crafted XCOFF (Extended Common Object File Format) object file during linking. A local attacker could trick a user into processing this malicious file, which could lead to arbitrary code execution, allowing the attacker to run unauthorized commands, or cause a denial of service, making the system unavailable. Уязвимость программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 3.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: signal: Fix restoration of SVE context When SME is supported, Restoring SVE signal context can go wrong in a few ways, including placing the task into an invalid state where the kernel may read from out-of-bounds memory (and may potentially take a fatal fault) and/or may kill the task with a SIGKILL. (1) Restoring a context with SVE_SIG_FLAG_SM set can place the task into an invalid state where SVCR.SM is set (and sve_state is non-NULL) but TIF_SME is clear, consequently resuting in out-of-bounds memory reads and/or killing the task with SIGKILL. This can only occur in unusual (but legitimate) cases where the SVE signal context has either been modified by userspace or was saved in the context of another task (e.g. as with CRIU), as otherwise the presence of an SVE signal context with SVE_SIG_FLAG_SM implies that TIF_SME is already set. While in this state, task_fpsimd_load() will NOT configure SMCR_ELx (leaving some arbitrary value configured in hardware) before restoring SVCR and attempting to restore the streaming mode SVE registers from memory via sve_load_state(). As the value of SMCR_ELx.LEN may be larger than the task's streaming SVE vector length, this may read memory outside of the task's allocated sve_state, reading unrelated data and/or triggering a fault. While this can result in secrets being loaded into streaming SVE registers, these values are never exposed. As TIF_SME is clear, fpsimd_bind_task_to_cpu() will configure CPACR_ELx.SMEN to trap EL0 accesses to streaming mode SVE registers, so these cannot be accessed directly at EL0. As fpsimd_save_user_state() verifies the live vector length before saving (S)SVE state to memory, no secret values can be saved back to memory (and hence cannot be observed via ptrace, signals, etc). When the live vector length doesn't match the expected vector length for the task, fpsimd_save_user_state() will send a fatal SIGKILL signal to the task. Hence the task may be killed after executing userspace for some period of time. (2) Restoring a context with SVE_SIG_FLAG_SM clear does not clear the task's SVCR.SM. If SVCR.SM was set prior to restoring the context, then the task will be left in streaming mode unexpectedly, and some register state will be combined inconsistently, though the task will be left in legitimate state from the kernel's PoV. This can only occur in unusual (but legitimate) cases where ptrace has been used to set SVCR.SM after entry to the sigreturn syscall, as syscall entry clears SVCR.SM. In these cases, the the provided SVE register data will be loaded into the task's sve_state using the non-streaming SVE vector length and the FPSIMD registers will be merged into this using the streaming SVE vector length. Fix (1) by setting TIF_SME when setting SVCR.SM. This also requires ensuring that the task's sme_state has been allocated, but as this could contain live ZA state, it should not be zeroed. Fix (2) by clearing SVCR.SM when restoring a SVE signal context with SVE_SIG_FLAG_SM clear. For consistency, I've pulled the manipulation of SVCR, TIF_SVE, TIF_SME, and fp_type earlier, immediately after the allocation of sve_state/sme_state, before the restore of the actual register state. This makes it easier to ensure that these are always modified consistently, even if a fault is taken while reading the register data from the signal context. I do not expect any software to depend on the exact state restored when a fault is taken while reading the context. Уязвимость компонента arm64/fpsimd ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 3.8 expat In libexpat before 2.7.4, the doContent function does not properly determine the buffer size bufSize because there is no integer overflow check for tag buffer reallocation. Уязвимость библиотеки для анализа XML-файлов libexpat связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L', score=6.9) expat: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ)