Heimdall Security Logo

CVE-2021-47010

Vulnérabilité élevée dans Linux (Linux)

CVSS 7.8 · Élevée
EPSS 0.3%
Linux•Linux•Versions : <=5.11.*, <efe1532a6e1a8e3c343d04fff510f0ed80328f9c, <8d432592f30fcc34ef5a10aac4887b4897884493, <e7d7bedd507bb732e600403b7a96f9fe48d0ca31, 0, <992de06308d9a9584d59b96d294ac676f924e437, 6670e152447732ba90626f36dfc015a13fbf150e, <=5.10.*, 5.10.37, 5.11.21, <=5.4.*, 5.13, <=4.19.*, <=5.12.*, 5.12.4, 5.4.119, <9884f745108f7d25b189bbcd6754e284fb29ab68, 4.19.191, <=*, <4.15, <6c1ea8bee75df8fe2184a50fcd0f70bf82986f42, 4.15

Description

In the Linux kernel, the following vulnerability has been resolved: net: Only allow init netns to set default tcp cong to a restricted algo tcp_set_default_congestion_control() is netns-safe in that it writes to &net->ipv4.tcp_congestion_control, but it also sets ca->flags |= TCP_CONG_NON_RESTRICTED which is not namespaced. This has the unintended side-effect of changing the global net.ipv4.tcp_allowed_congestion_control sysctl, despite the fact that it is read-only: 97684f0970f6 ("net: Make tcp_allowed_congestion_control readonly in non-init netns") Resolve this netns "leak" by only allowing the init netns to set the default algorithm to one that is restricted. This restriction could be removed if tcp_allowed_congestion_control were namespace-ified in the future. This bug was uncovered with https://github.com/JonathonReinhart/linux-netns-sysctl-verify

Gravité et risque d'exploitation

CVE-2021-47010 obtient un score CVSS de 7.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.26 %, ce qui la place devant 16.2 % des CVE référencées.

Que faire ?

  • Vérifiez si Linux (versions <=5.11.*, <efe1532a6e1a8e3c343d04fff510f0ed80328f9c, <8d432592f30fcc34ef5a10aac4887b4897884493, <e7d7bedd507bb732e600403b7a96f9fe48d0ca31, 0, <992de06308d9a9584d59b96d294ac676f924e437, 6670e152447732ba90626f36dfc015a13fbf150e, <=5.10.*, 5.10.37, 5.11.21, <=5.4.*, 5.13, <=4.19.*, <=5.12.*, 5.12.4, 5.4.119, <9884f745108f7d25b189bbcd6754e284fb29ab68, 4.19.191, <=*, <4.15, <6c1ea8bee75df8fe2184a50fcd0f70bf82986f42, 4.15) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE