Описание
Уязвимость функции rds_recv_track_latency (drivers/media/cec/core/cec-api.c) ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации
Вендор
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
АО «НТЦ ИТ РОСА»
Наименование ПО
Debian GNU/Linux
Astra Linux Special Edition
Linux
ROSA Virtualization 3.0
Версия ПО
10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
от 6.7 до 6.9.3 включительно (Linux)
от 6.2 до 6.6.32 включительно (Linux)
от 5.11 до 5.15.160 включительно (Linux)
от 5.16 до 6.1.92 включительно (Linux)
от 4.0 до 4.19.315 включительно (Linux)
1.8 (Astra Linux Special Edition)
от 4.20 до 5.10.218 включительно (Linux)
3.0 (ROSA Virtualization 3.0)
Тип ПО
Операционная система
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
Сообщество свободного программного обеспечения Linux от 6.7 до 6.9.3 включительно
Сообщество свободного программного обеспечения Linux от 6.2 до 6.6.32 включительно
Сообщество свободного программного обеспечения Linux от 5.11 до 5.15.160 включительно
Сообщество свободного программного обеспечения Linux от 5.16 до 6.1.92 включительно
Сообщество свободного программного обеспечения Linux от 4.0 до 4.19.315 включительно
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
Сообщество свободного программного обеспечения Linux от 4.20 до 5.10.218 включительно
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)
Возможные меры по устранению уязвимости
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Компенсирующие меры:
- временно до появления исправления отказаться от использования драйвера HDMI CEC;
- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;
- принудительная смена паролей пользователей;
- ограничение доступа к командной строке для недоверенных пользователей;
- использование антивирусных средств защиты;
- мониторинг действий пользователей.
Использование рекомендаций:
Для Linux:
https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.316
https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.10.219
https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.161
https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.93
https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.6.33
https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.9.4
https://lore.kernel.org/lkml/e9f42704-2f99-4f2c-ade5-f952e5fd53e5%40xs4all.nl/
https://lore.kernel.org/lkml/PH7PR11MB57688E64ADE4FE82E658D86DA09EA@PH7PR11MB5768.namprd11.prod.outlook.com/T/#u
https://lore.kernel.org/netdev/1705715319-19199-1-git-send-email-sharath.srinivasan%40oracle.com/
https://lore.kernel.org/netdev/CALGdzuoVdq-wtQ4Az9iottBqC5cv9ZhcE5q8N7LfYFvkRsOVcw%40mail.gmail.com
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2774
Для ОС Astra Linux:
- обновить пакет linux-5.10 до 5.10.233-1.astra1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
- обновить пакет linux-5.15 до 5.15.0-127.astra1+ci4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
- обновить пакет linux-6.1 до 6.1.124-1.astra1+ci7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux:
- обновить пакет linux-6.1 до 6.1.124-1.astra1+ci29 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 1%
0.0001
Низкий
5.5 Medium
CVSS3
6.8 Medium
CVSS2
Связанные уязвимости
CVSS3: 5.5
ubuntu
больше 1 года назад
In the Linux kernel through 6.7.1, there is a use-after-free in cec_queue_msg_fh, related to drivers/media/cec/core/cec-adap.c and drivers/media/cec/core/cec-api.c.
CVSS3: 6.7
redhat
больше 1 года назад
In the Linux kernel through 6.7.1, there is a use-after-free in cec_queue_msg_fh, related to drivers/media/cec/core/cec-adap.c and drivers/media/cec/core/cec-api.c.
CVSS3: 5.5
nvd
больше 1 года назад
In the Linux kernel through 6.7.1, there is a use-after-free in cec_queue_msg_fh, related to drivers/media/cec/core/cec-adap.c and drivers/media/cec/core/cec-api.c.
CVSS3: 5.5
debian
больше 1 года назад
In the Linux kernel through 6.7.1, there is a use-after-free in cec_qu ...
CVSS3: 5.5
github
больше 1 года назад
In the Linux kernel through 6.7.1, there is a use-after-free in cec_queue_msg_fh, related to drivers/media/cec/core/cec-adap.c and drivers/media/cec/core/cec-api.c.
EPSS
Процентиль: 1%
0.0001
Низкий
5.5 Medium
CVSS3
6.8 Medium
CVSS2