CVE-2023-52837
Vulnérabilité élevée dans Linux (Linux)
CVSS 7.8 · Élevée
EPSS 0.3%
Linux•Linux•Versions : <=6.1.*, 4af5f2e0301311f88c420fcfc5f3c8611ade20ac, <5.14, <=*, <=6.5.*, <327462725b0f759f093788dfbcb2f1fd132f956b, 6.6.2, <=6.6.*, 5.14, 0, 6.1.63, <879947f4180bc6e83af64eb0515e0cf57fce15db, 6.7, 6.5.12, <4e9b3ec84dc97909876641dad14e0a2300d6c2a3, <56bd7901b5e9dbc9112036ea615ebcba1565fafe
Description
In the Linux kernel, the following vulnerability has been resolved: nbd: fix uaf in nbd_open Commit 4af5f2e03013 ("nbd: use blk_mq_alloc_disk and blk_cleanup_disk") cleans up disk by blk_cleanup_disk() and it won't set disk->private_data as NULL as before. UAF may be triggered in nbd_open() if someone tries to open nbd device right after nbd_put() since nbd has been free in nbd_dev_remove(). Fix this by implementing ->free_disk and free private data in it.
Gravité et risque d'exploitation
CVE-2023-52837 obtient un score CVSS de 7.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.25 %, ce qui la place devant 15.4 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions <=6.1.*, 4af5f2e0301311f88c420fcfc5f3c8611ade20ac, <5.14, <=*, <=6.5.*, <327462725b0f759f093788dfbcb2f1fd132f956b, 6.6.2, <=6.6.*, 5.14, 0, 6.1.63, <879947f4180bc6e83af64eb0515e0cf57fce15db, 6.7, 6.5.12, <4e9b3ec84dc97909876641dad14e0a2300d6c2a3, <56bd7901b5e9dbc9112036ea615ebcba1565fafe) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.