CVE-2022-48672
Vulnérabilité non évaluée dans Linux (Linux)
CVSS 0.0 · Non évaluée
EPSS 0.2%
Linux•Linux•Versions : 5.15.70, 0, 5.4.215, <2566706ac6393386a4e7c4ce23fe17f4c98d9aa0, <e0e88c25f88b9805572263c9ed20f1d88742feaf, <=5.10.*, <=4.14.*, 6.0, 4.14.295, <cbdda20ce363356698835185801a58a28f644853, 78c44d910d3e5f96dc6b3695fc1e4efd7c46a455, 5.10.145, <=5.4.*, 4.7, <=4.19.*, <2f945a792f67815abca26fa8a5e863ccf3fa1181, <ee4369260e77821602102dcc7d792de39a56365c, <ba6b9f7cc1108bad6e2c53b1d6e0156379188db7, <2133f451311671c7c42b5640d2b999326b39aa0e, 5.19.11, <=*, 4.19.260, <=5.15.*, <4.7, <=5.19.*
Description
In the Linux kernel, the following vulnerability has been resolved: of: fdt: fix off-by-one error in unflatten_dt_nodes() Commit 78c44d910d3e ("drivers/of: Fix depth when unflattening devicetree") forgot to fix up the depth check in the loop body in unflatten_dt_nodes() which makes it possible to overflow the nps[] buffer... Found by Linux Verification Center (linuxtesting.org) with the SVACE static analysis tool.
Gravité et risque d'exploitation
CVE-2022-48672 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.25 %, ce qui la place devant 15.0 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions 5.15.70, 0, 5.4.215, <2566706ac6393386a4e7c4ce23fe17f4c98d9aa0, <e0e88c25f88b9805572263c9ed20f1d88742feaf, <=5.10.*, <=4.14.*, 6.0, 4.14.295, <cbdda20ce363356698835185801a58a28f644853, 78c44d910d3e5f96dc6b3695fc1e4efd7c46a455, 5.10.145, <=5.4.*, 4.7, <=4.19.*, <2f945a792f67815abca26fa8a5e863ccf3fa1181, <ee4369260e77821602102dcc7d792de39a56365c, <ba6b9f7cc1108bad6e2c53b1d6e0156379188db7, <2133f451311671c7c42b5640d2b999326b39aa0e, 5.19.11, <=*, 4.19.260, <=5.15.*, <4.7, <=5.19.*) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://git.kernel.org/stable/c/cbdda20ce363356698835185801a58a28f644853
- https://git.kernel.org/stable/c/2566706ac6393386a4e7c4ce23fe17f4c98d9aa0
- https://git.kernel.org/stable/c/e0e88c25f88b9805572263c9ed20f1d88742feaf
- https://git.kernel.org/stable/c/ee4369260e77821602102dcc7d792de39a56365c
- https://git.kernel.org/stable/c/ba6b9f7cc1108bad6e2c53b1d6e0156379188db7
- https://git.kernel.org/stable/c/2133f451311671c7c42b5640d2b999326b39aa0e
- https://git.kernel.org/stable/c/2f945a792f67815abca26fa8a5e863ccf3fa1181