Multiples vulnérabilités dans le noyau Linux
Date de publication :
CVE-2022-2602[Score CVSS v3.1: 8.8]
Un défaut dans le compteur de références dans l’API io_uring permet à un attaquant, pouvant exécuter du code sur le système, d’élever ses privilèges et d’exécuter du code avec les droits root sur le système.
CVE-2022-3635[Score CVSS v3.1:8.0]
Une erreur de libération de mémoire dans la fonction tst_timer du composant IPsec permet à un attaquant, de corrompre la mémoire afin d’exécuter du code arbitraire sur le système ou de provoquer un déni de service.
CVE-2022-3636[Score CVSS v3.1:8.0]
Une erreur de libération de mémoire dans la fonction __mtk_ppe_check_skb du composant Ethernet Handler permet à un attaquant, de corrompre la mémoire afin d’exécuter du code arbitraire sur le système ou de provoquer un déni de service.
CVE-2022-3640[Score CVSS v3.1:8.0]
Une erreur de libération de mémoire dans la fonction l2cap_conn_del du composant Bluetooth permet à un attaquant, de corrompre la mémoire afin d’exécuter du code arbitraire sur le système ou de provoquer un déni de service.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
Élévation de privilèges
Exécution de code arbitraire
Déni de service
Criticité
Score CVSS v3.1: 8.8 max
La faille est activement exploitée
Non, pour l’ensemble des CVE présentées.
Un correctif existe
Oui, pour l’ensemble des CVE présentées.
Une mesure de contournement existe
Non, pour l’ensemble des CVE présentées.
La vulnérabilité exploitée est du type
Pour la CVE-2022-2602
CWE-911: Improper Update of Reference Count
Pour les CVE-2022-3635, CVE-2022-3636 et CVE-2022-3640
Détails sur l’exploitation
Pour la CVE-2022-2602
Vecteur d’attaque : Réseau.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Pour les CVE-2022-3635, CVE-2022-3636 et CVE-2022-3640
Vecteur d’attaque : Adjacent.
Complexité de l’attaque : Faible.
Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Composants vulnérables
Pour l’ensemble des CVE présentées
Noyau linux et l’ensemble des systèmes d’exploitation qui en dépendent.
Solutions ou recommandations
Pour l’ensemble des CVE présentées