BDU:2022-05656

Опубликовано: 08 сент. 2022

Источник: fstec

CVSS3: 5.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость драйвера vmwgfx (drivers/gpu/vmxgfx/vmxgfx_execbuf.c) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии или вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Linux

Версия ПО

от 5.16 до 6.1.83 включительно (Linux)

от 6.2 до 6.6.23 включительно (Linux)

от 5.11 до 5.15.153 включительно (Linux)

от 4.20 до 5.10.214 включительно (Linux)

от 6.7 до 6.7.11 включительно (Linux)

от 6.8 до 6.8.2 включительно (Linux)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Linux от 5.16 до 6.1.83 включительно

Сообщество свободного программного обеспечения Linux от 6.2 до 6.6.23 включительно

Сообщество свободного программного обеспечения Linux от 6.7.0 до 6.7.11 включительно

Сообщество свободного программного обеспечения Linux от 6.8.0 до 6.8.2 включительно

Сообщество свободного программного обеспечения Linux от 5.11 до 5.15.153 включительно

Сообщество свободного программного обеспечения Linux от 4.20 до 5.10.214 включительно

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Нет опасности уровень опасности (оценка CVSS 4.0 составляет 0)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Компенсирующие меры:

- ограничить доступ к файлу drivers/gpu/vmxgfx/vmxgfx_execbuf.c;

- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;

- принудительная смена паролей пользователей;

- ограничение удаленного доступа к операционной системе недоверенных пользователей (SSH и проч.);

- ограничение доступа к командной строке для недоверенных пользователей;

- использование антивирусных средств защиты;

- мониторинг действий пользователей;

- использование систем управления доступом (таких, как SELinux, AppArmor и проч.).

Использование рекомендаций:

Для Linux:

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.10.215

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.154

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.84

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.6.24

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.7.12

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.8.3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-38096
CVE

EPSS

Процентиль: 3%

0.00017

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

CVE-2022-38096

CVSS3: 6.3

ubuntu

почти 3 года назад

A NULL pointer dereference vulnerability was found in vmwgfx driver in drivers/gpu/vmxgfx/vmxgfx_execbuf.c in GPU component of Linux kernel with device file '/dev/dri/renderD128 (or Dxxx)'. This flaw allows a local attacker with a user account on the system to gain privilege, causing a denial of service(DoS).

CVE-2022-38096

CVSS3: 5.5

redhat

почти 3 года назад

CVE-2022-38096

CVSS3: 6.3

nvd

почти 3 года назад

CVE-2022-38096

CVSS3: 5.5

msrc

почти 3 года назад

Описание отсутствует

CVE-2022-38096

CVSS3: 6.3

debian

почти 3 года назад

A NULL pointer dereference vulnerability was found in vmwgfx driver in ...

EPSS

Процентиль: 3%

0.00017

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2