CVE-2022-49084
Vulnérabilité élevée dans Linux (Linux)
CVSS 7.5 · Élevée
EPSS 0.7%
Linux•Linux•Versions : <=5.17.*, 5.18, 5.15.34, 0, <b2d6b3db9d1cf80908964036dbe1c52a86b1afb1, 5.16.20, 8a8633978b842c88fbcfe00d4e5dde96048f630e, <e1fd0c42acfa22bb34d2ab6a111484f466ab8093, <=5.10.*, <8928239e5e2e460d95b8a0b89f61671625e7ece0, 5.17.3, <4e910dbe36508654a896d5735b318c0b88172570, 5.4.189, <=5.4.*, <=4.19.*, <034a92c6a81048128fc7b18d278d52438a13902a, 5.10.111, <=5.16.*, <4.18, 4.18, <=*, 4.19.238, <=5.15.*, <9648adb1b3ece55c657d3a4f52bfee663b710dfe, <c9bdce2359b5f4986eb38d1e81865b3586cc20d2
Description
In the Linux kernel, the following vulnerability has been resolved: qede: confirm skb is allocated before using qede_build_skb() assumes build_skb() always works and goes straight to skb_reserve(). However, build_skb() can fail under memory pressure. This results in a kernel panic because the skb to reserve is NULL. Add a check in case build_skb() failed to allocate and return NULL. The NULL return is handled correctly in callers to qede_build_skb().
Gravité et risque d'exploitation
CVE-2022-49084 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.67 %, ce qui la place devant 51.2 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions <=5.17.*, 5.18, 5.15.34, 0, <b2d6b3db9d1cf80908964036dbe1c52a86b1afb1, 5.16.20, 8a8633978b842c88fbcfe00d4e5dde96048f630e, <e1fd0c42acfa22bb34d2ab6a111484f466ab8093, <=5.10.*, <8928239e5e2e460d95b8a0b89f61671625e7ece0, 5.17.3, <4e910dbe36508654a896d5735b318c0b88172570, 5.4.189, <=5.4.*, <=4.19.*, <034a92c6a81048128fc7b18d278d52438a13902a, 5.10.111, <=5.16.*, <4.18, 4.18, <=*, 4.19.238, <=5.15.*, <9648adb1b3ece55c657d3a4f52bfee663b710dfe, <c9bdce2359b5f4986eb38d1e81865b3586cc20d2) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://git.kernel.org/stable/c/9648adb1b3ece55c657d3a4f52bfee663b710dfe
- https://git.kernel.org/stable/c/034a92c6a81048128fc7b18d278d52438a13902a
- https://git.kernel.org/stable/c/8928239e5e2e460d95b8a0b89f61671625e7ece0
- https://git.kernel.org/stable/c/c9bdce2359b5f4986eb38d1e81865b3586cc20d2
- https://git.kernel.org/stable/c/b2d6b3db9d1cf80908964036dbe1c52a86b1afb1
- https://git.kernel.org/stable/c/e1fd0c42acfa22bb34d2ab6a111484f466ab8093
- https://git.kernel.org/stable/c/4e910dbe36508654a896d5735b318c0b88172570