CVE-2024-40902
Vulnérabilité élevée dans Linux (Linux)
CVSS 7.8 · Élevée
EPSS 0.3%
Linux•Linux•Versions : <=6.1.*, 5.4.279, 2.6.12, 6.10, 6.1.95, <480e5bc21f2c42d90c2c16045d64d824dcdd5ec7, 0, 6.9.6, <2.6.12, 1da177e4c3f41524e886b7f1b8a0c1fc7321cac2, <4598233d9748fe4db4e13b9f473588aa25e87d69, 6.6.35, <=5.10.*, <=6.6.*, <=6.9.*, <1e84c9b1838152a87cf453270a5fa75c5037e83a, 5.15.162, <33aecc5799c93d3ee02f853cb94e201f9731f123, <7c55b78818cfb732680c4a72ab270cc2d2ee3d0f, <=5.4.*, <=4.19.*, 5.10.221, <f0dedb5c511ed82cbaff4997a8decf2351ba549f, <b537cb2f4c4a1357479716a9c339c0bda03d873f, <=*, <=5.15.*, 4.19.317, <fc745f6e83cb650f9a5f2c864158e3a5ea76dad0
Description
In the Linux kernel, the following vulnerability has been resolved: jfs: xattr: fix buffer overflow for invalid xattr When an xattr size is not what is expected, it is printed out to the kernel log in hex format as a form of debugging. But when that xattr size is bigger than the expected size, printing it out can cause an access off the end of the buffer. Fix this all up by properly restricting the size of the debug hex dump in the kernel log.
Gravité et risque d'exploitation
CVE-2024-40902 obtient un score CVSS de 7.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.32 %, ce qui la place devant 23.4 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions <=6.1.*, 5.4.279, 2.6.12, 6.10, 6.1.95, <480e5bc21f2c42d90c2c16045d64d824dcdd5ec7, 0, 6.9.6, <2.6.12, 1da177e4c3f41524e886b7f1b8a0c1fc7321cac2, <4598233d9748fe4db4e13b9f473588aa25e87d69, 6.6.35, <=5.10.*, <=6.6.*, <=6.9.*, <1e84c9b1838152a87cf453270a5fa75c5037e83a, 5.15.162, <33aecc5799c93d3ee02f853cb94e201f9731f123, <7c55b78818cfb732680c4a72ab270cc2d2ee3d0f, <=5.4.*, <=4.19.*, 5.10.221, <f0dedb5c511ed82cbaff4997a8decf2351ba549f, <b537cb2f4c4a1357479716a9c339c0bda03d873f, <=*, <=5.15.*, 4.19.317, <fc745f6e83cb650f9a5f2c864158e3a5ea76dad0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://git.kernel.org/stable/c/f0dedb5c511ed82cbaff4997a8decf2351ba549f
- https://git.kernel.org/stable/c/1e84c9b1838152a87cf453270a5fa75c5037e83a
- https://git.kernel.org/stable/c/fc745f6e83cb650f9a5f2c864158e3a5ea76dad0
- https://git.kernel.org/stable/c/480e5bc21f2c42d90c2c16045d64d824dcdd5ec7
- https://git.kernel.org/stable/c/33aecc5799c93d3ee02f853cb94e201f9731f123
- https://git.kernel.org/stable/c/4598233d9748fe4db4e13b9f473588aa25e87d69
- https://git.kernel.org/stable/c/b537cb2f4c4a1357479716a9c339c0bda03d873f
- https://git.kernel.org/stable/c/7c55b78818cfb732680c4a72ab270cc2d2ee3d0f