BDU:2025-10790

Опубликовано: 25 июн. 2025

Источник: fstec

CVSS3: 5.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость компонента nvmet ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Наименование ПО

Red Hat Enterprise Linux

Linux

Версия ПО

9 (Red Hat Enterprise Linux)

до 6.10.10 (Linux)

10 (Red Hat Enterprise Linux)

от 6.12.0 до 6.12.37 (Linux)

от 6.15.0 до 6.15.6 (Linux)

до 6.16 rc5 (Linux)

от 6.11.0 до 6.12.37 (Linux)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 9

Сообщество свободного программного обеспечения Linux до 6.10.10

Red Hat Inc. Red Hat Enterprise Linux 10

Сообщество свободного программного обеспечения Linux от 6.12.0 до 6.12.37

Сообщество свободного программного обеспечения Linux от 6.15.0 до 6.15.6

Сообщество свободного программного обеспечения Linux до 6.16 rc5

Сообщество свободного программного обеспечения Linux от 6.11.0 до 6.12.37

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Linux:

https://git.kernel.org/stable/c/190f4c2c863af7cc5bb354b70e0805f06419c038

https://git.kernel.org/stable/c/2e2028fcf924d1c6df017033c8d6e28b735a0508

https://git.kernel.org/stable/c/431e58d56fcb5ff1f9eb630724a922e0d2a941df

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2025-38405

Компенсирующие меры:

- минимизация пользовательских привилегий;

- отключение/удаление неиспользуемых учётных записей пользователей;

- контроль журналов аудита кластера для отслеживания попыток эксплуатации уязвимости.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-38405
CVE

EPSS

Процентиль: 6%

0.00025

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

CVE-2025-38405

ubuntu

3 месяца назад

In the Linux kernel, the following vulnerability has been resolved: nvmet: fix memory leak of bio integrity If nvmet receives commands with metadata there is a continuous memory leak of kmalloc-128 slab or more precisely bio->bi_integrity. Since commit bf4c89fc8797 ("block: don't call bio_uninit from bio_endio") each user of bio_init has to use bio_uninit as well. Otherwise the bio integrity is not getting free. Nvmet uses bio_init for inline bios. Uninit the inline bio to complete deallocation of integrity in bio.