BDU:2026-01365

Опубликовано: 18 авг. 2025

Источник: fstec

CVSS3: 5.2

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость функции avs_soc_component_register() модуля sound/soc/intel/avs/pcm.c поддержки звука SoC ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Наименование ПО

Red Hat Enterprise Linux

Linux

Версия ПО

8 (Red Hat Enterprise Linux)

9 (Red Hat Enterprise Linux)

10 (Red Hat Enterprise Linux)

от 5.19 до 6.17.7 включительно (Linux)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Red Hat Inc. Red Hat Enterprise Linux 9

Red Hat Inc. Red Hat Enterprise Linux 10

Сообщество свободного программного обеспечения Linux от 5.19 до 6.17.7 включительно

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,2)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Linux:

https://lore.kernel.org/linux-cve-announce/2025120911-CVE-2025-40338-c637@gregkh/

https://git.kernel.org/stable/c/128bf29c992988f8b4f3829227339908fde5ec86

https://git.kernel.org/linus/4dee5c1cc439b0d5ef87f741518268ad6a95b23d

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.17.8

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-40338

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-40338
CVE

EPSS

Процентиль: 7%

0.00026

Низкий

5.2 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVE-2025-40338

ubuntu

2 месяца назад

In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: avs: Do not share the name pointer between components By sharing 'name' directly, tearing down components may lead to use-after-free errors. Duplicate the name to avoid that. At the same time, update the order of operations - since commit cee28113db17 ("ASoC: dmaengine_pcm: Allow passing component name via config") the framework does not override component->name if set before invoking the initializer.