Multiples vulnérabilités dans le noyau Linux
Date de publication :
CVE-2022-2991[Score CVSS v3.1:8.2]
Un débordement de mémoire tampon lors d’opérations effectuées dans le sous-système LightNVM du noyau Linux permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, d’exécuter du code arbitraire avec les privilèges les plus élevés.
CVE-2022-2959[Score CVSS v3.1:7.8]
Un défaut de verrouillage de la fonction pipe_resize_ring() dans le composant Pipe Buffer Handler permet à un attaquant d’élever ses privilèges ou de provoquer un déni de service.
CVE-2022-2978[Score CVSS v3.1:7.8]
Une faille d'utilisation de mémoire après libération dans le système de fichiers NILFS du noyau Linux permet à un attaquant d’élever ses privilèges ou de provoquer un déni de service.
CVE-2022-2961[Score CVSS v3.1:8.8]
Une faille d'utilisation de mémoire après libération dans la fonction rose_bind du composant PLP Rose Handler permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, d’élever ses privilèges ou de provoquer un déni de service.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
Élévation de privilège
Déni de service
Criticité
Score CVSS v3.1: 8.8 max
La faille est activement exploitée
Non
Des correctifs existent
Oui
Des mesures de contournement existent
Non
Les vulnérabilités exploitées sont du type
Pour la CVE-2022-2991
CWE-122: Heap-based Buffer Overflow
Pour la CVE-2022-2959
CWE-667: Improper Locking
Pour les CVE-2022-2978 et CVE-2022-2961
CWE-416: Use After Free
Détails sur l’exploitation
Pour la CVE-2022-2991 :
Vecteur d’attaque : Local.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur à privilèges.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Pour les CVE-2022-2959 et CVE-2022-2978 :
Vecteur d’attaque : Local.
Complexité de l’attaque : Élevée.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Pour la CVE-2022-2961 :
Vecteur d’attaque : Local.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Composants vulnérables
Pour les CVE-2022-2991, CVE-2022-2959 et CVE-2022-2978 :
Ces vulnérabilités affectent le noyau Linux aux versions antérieures à 5.18.16-1.
Pour la CVE-2022-2961 :
Cette vulnérabilité affecte le noyau Linux aux versions 6.0-rc1 et antérieures.
Solutions ou recommandations
Pour les CVE-2022-2991, CVE-2022-2959 et CVE-2022-2978 :
Mettre à jour le noyau Linux à la version 5.19.4.
Pour la CVE-2022-2961 :
Mettre à jour le noyau Linux à la version 6.0-rc2.