ГлавнаяБаза уязвимостей БДУ → BDU:2024-08302
6.8высокая

BDU:2024-08302 (CVE-2024-40956)

Уязвимость функции irq_process_work_list() драйвера DMA ядра операционной системы Linux, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации
Опубликовано: 2024-10-23
Описание

Уязвимость функции irq_process_work_list() в модуле drivers/dma/idxd/irq.c драйвера DMA ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Затрагиваемое ПО и версии
Red Hat Enterprise Linux (8)Ubuntu (20.04 LTS)Debian GNU/Linux (12)РЕД ОС (7.3)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Ubuntu (22.04 LTS)Red Hat Enterprise Linux (9)Astra Linux Common Edition (1.6 «Смоленск»)АЛЬТ СП 10Red Hat Enterprise Linux (9.2 Extended Update Support)Ubuntu (24.04 LTS)Linux (от 5.11 до 5.15.161 включительно)Linux (от 5.16 до 6.1.95 включительно)Linux (от 6.2 до 6.6.35 включительно)Linux (от 6.7 до 6.9.6 включительно)ОСОН ОСнова Оnyx (до 2.12)
Способ устранения

Для Linux:
https://git.kernel.org/stable/c/faa35db78b058a2ab6e074ee283f69fa398c36a8
https://git.kernel.org/stable/c/e3215deca4520773cd2b155bed164c12365149a7
https://git.kernel.org/stable/c/a14968921486793f2a956086895c3793761309dd
https://git.kernel.org/stable/c/83163667d881100a485b6c2daa30301b7f68d9b5
https://git.kernel.org/stable/c/1b08bf5a17c66ab7dbb628df5344da53c8e7ab33
https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.162
https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.96
https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.6.36
https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.9.7

Для АЛЬТ СП 10:
https://cve.basealt.ru/report-28082024-c10f1-c9f2.html

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-40956

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-40956

Для Ubuntu:
https://ubuntu.com/security/notices/USN-7007-1
https://ubuntu.com/security/notices/USN-7008-1
https://ubuntu.com/security/notices/USN-7005-2
https://ubuntu.com/security/notices/USN-7009-1
https://ubuntu.com/security/notices/USN-7019-1
https://ubuntu.com/security/notices/USN-7007-2
https://ubuntu.com/security/notices/USN-6999-2
https://ubuntu.com/security/notices/USN-7007-3
https://ubuntu.com/security/notices/USN-7029-1
https://ubuntu.com/security/notices/USN-6999-1
https://ubuntu.com/security/notices/USN-7004-1
https://ubuntu.com/security/notices/USN-7005-1
https://ubuntu.com/security/notices/USN-7009-2

Компенсирующие меры:
- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;
- принудительная смена паролей пользователей;
- ограничение доступа к командной строке для недоверенных пользователей;
- использование антивирусных средств защиты;
- мониторинг действий пользователей.

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Обновление программного обеспечения linux до версии 6.6.66-0.osnova2u1

Для ОС Astra Linux:
- обновить пакет linux-5.15 до 5.15.0-127.astra1+ci4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
- обновить пакет linux-6.1 до 6.1.124-1.astra1+ci7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:
- обновить пакет linux-5.15 до 5.15.0-127.astra1+ci5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47
- обновить пакет linux-6.1 до 6.1.124-1.astra2+ci4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Для ОС Astra Linux:
обновить пакет linux-5.15 до 5.15.0-158.astra2+ci2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Оценка CVSS
Балл6.8 — высокая опасность
Источники и патчи
https://git.kernel.org/stable/c/faa35db78b058a2ab6e074ee283f69fa398c36a8https://git.kernel.org/stable/c/e3215deca4520773cd2b155bed164c12365149a7https://git.kernel.org/stable/c/a14968921486793f2a956086895c3793761309ddhttps://git.kernel.org/stable/c/83163667d881100a485b6c2daa30301b7f68d9b5https://git.kernel.org/stable/c/1b08bf5a17c66ab7dbb628df5344da53c8e7ab33https://www.cve.org/CVERecord?id=CVE-2024-40956https://ubuntu.com/security/notices/USN-7007-1https://ubuntu.com/security/notices/USN-7008-1
Проверьте безопасность своего сайта и почты → Полная проверка домена