Heimdall Security Logo

CVE-2024-38618

Vulnérabilité moyenne dans Linux (Linux)

CVSS 5.3 · Moyenne
EPSS 0.6%
Linux•Linux•Versions : <=6.1.*, <2.6.29, 6.10, <abb1ad69d98cf1ff25bb14fff0e7c3f66239e1cd, 0, <bdd0aa055b8ec7e24bbc19513f3231958741d0ab, 2.6.29, bbaf5e97337287479eb78dbc3822d9560bbfd2e2, <=5.10.*, <=6.6.*, <=6.9.*, 5.10.219, 4.19.316, <=5.4.*, 6.6.33, <ceab795a67dd28dd942d0d8bba648c6c0f7a044b, <=4.19.*, 5.4.278, <68396c825c43664b20a3a1ba546844deb2b4e48f, 5.15.161, <83f0ba8592b9e258fd80ac6486510ab1dcd7ad6e, 6.1.93, <=*, <74bfb8d90f2601718ae203faf45a196844c01fa1, <2c95241ac5fc90c929d6c0c023e84bf0d30e84c3, <=5.15.*, 6.9.3, <4a63bd179fa8d3fcc44a0d9d71d941ddd62f0c4e

Description

In the Linux kernel, the following vulnerability has been resolved: ALSA: timer: Set lower bound of start tick time Currently ALSA timer doesn't have the lower limit of the start tick time, and it allows a very small size, e.g. 1 tick with 1ns resolution for hrtimer. Such a situation may lead to an unexpected RCU stall, where the callback repeatedly queuing the expire update, as reported by fuzzer. This patch introduces a sanity check of the timer start tick time, so that the system returns an error when a too small start size is set. As of this patch, the lower limit is hard-coded to 100us, which is small enough but can still work somehow.

Gravité et risque d'exploitation

CVE-2024-38618 obtient un score CVSS de 5.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.65 %, ce qui la place devant 50.1 % des CVE référencées.

Que faire ?

  • Vérifiez si Linux (versions <=6.1.*, <2.6.29, 6.10, <abb1ad69d98cf1ff25bb14fff0e7c3f66239e1cd, 0, <bdd0aa055b8ec7e24bbc19513f3231958741d0ab, 2.6.29, bbaf5e97337287479eb78dbc3822d9560bbfd2e2, <=5.10.*, <=6.6.*, <=6.9.*, 5.10.219, 4.19.316, <=5.4.*, 6.6.33, <ceab795a67dd28dd942d0d8bba648c6c0f7a044b, <=4.19.*, 5.4.278, <68396c825c43664b20a3a1ba546844deb2b4e48f, 5.15.161, <83f0ba8592b9e258fd80ac6486510ab1dcd7ad6e, 6.1.93, <=*, <74bfb8d90f2601718ae203faf45a196844c01fa1, <2c95241ac5fc90c929d6c0c023e84bf0d30e84c3, <=5.15.*, 6.9.3, <4a63bd179fa8d3fcc44a0d9d71d941ddd62f0c4e) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE