CVE-2024-40972
Vulnérabilité non évaluée dans Linux (Linux)
Description
In the Linux kernel, the following vulnerability has been resolved: ext4: do not create EA inode under buffer lock ext4_xattr_set_entry() creates new EA inodes while holding buffer lock on the external xattr block. This is problematic as it nests all the allocation locking (which acquires locks on other buffers) under the buffer lock. This can even deadlock when the filesystem is corrupted and e.g. quota file is setup to contain xattr block as data block. Move the allocation of EA inode out of ext4_xattr_set_entry() into the callers.
Gravité et risque d'exploitation
CVE-2024-40972 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.22 %, ce qui la place devant 11.8 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions e50e5129f384ae282adebfb561189cdb19b81cee, <=6.1.*, <=*, 6.10, <0752e7fb549d90c33b4d4186f11cfd25a556d1dd, 6.1.107, 6.6.47, 6.9.7, <=6.6.*, 0, <737fb7853acd5bc8984f6f42e4bfba3334be8ae1, <4.13, 4.13, <0a46ef234756dca04623b7591e8ebb3440622f0b, <111103907234bffd0a34fba070ad9367de058752, <=6.9.*) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.