CVE-2024-36244
Vulnérabilité non évaluée dans Linux (Linux)
Description
In the Linux kernel, the following vulnerability has been resolved: net/sched: taprio: extend minimum interval restriction to entire cycle too It is possible for syzbot to side-step the restriction imposed by the blamed commit in the Fixes: tag, because the taprio UAPI permits a cycle-time different from (and potentially shorter than) the sum of entry intervals. We need one more restriction, which is that the cycle time itself must be larger than N * ETH_ZLEN bit times, where N is the number of schedule entries. This restriction needs to apply regardless of whether the cycle time came from the user or was the implicit, auto-calculated value, so we move the existing "cycle == 0" check outside the "if "(!new->cycle_time)" branch. This way covers both conditions and scenarios. Add a selftest which illustrates the issue triggered by syzbot.
Gravité et risque d'exploitation
CVE-2024-36244 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.25 %, ce qui la place devant 14.8 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions <=6.1.*, <b939d1e04a90248b4cdf417b0969c270ceb992b2, 6.9.4, 6.10, 6.1.119, 0, 817ff50796c5e364c879596509f83fcba194bb6f, <=6.6.*, <=6.9.*, 5.4.68, b5b73b26b3ca34574124ed7ae9c5ba8391a7f176, 6.6.33, <34d83c3e6e97867ae061d14eb52123404aab1cbc, <5.5, <91f249b01fe490fce11fbb4307952ca8cce78724, 5.9, <5.9, <fb66df20a7201e60f2b13d7f95d031b31a8831d3, <=*, 5.8.12, 83bd58952b2b8543d8c48d1453975ab47a0a7504) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.