Multiples vulnérabilités dans le noyau Linux

Date de publication :

CVE-2022-2991[Score CVSS v3.1:8.2]
Un débordement de mémoire tampon lors d’opérations effectuées dans le sous-système LightNVM du noyau Linux permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, d’exécuter du code arbitraire avec les privilèges les plus élevés.

CVE-2022-2959[Score CVSS v3.1:7.8]
Un défaut de verrouillage de la fonction pipe_resize_ring() dans le composant Pipe Buffer Handler permet à un attaquant d’élever ses privilèges ou de provoquer un déni de service.

CVE-2022-2978[Score CVSS v3.1:7.8]
Une faille d'utilisation de mémoire après libération dans le système de fichiers NILFS du noyau Linux permet à un attaquant d’élever ses privilèges ou de provoquer un déni de service.

CVE-2022-2961[Score CVSS v3.1:8.8]
Une faille d'utilisation de mémoire après libération dans la fonction rose_bind du composant PLP Rose Handler permet à un attaquant, grâce à l’envoi d’une requête spécialement forgée, d’élever ses privilèges ou de provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Élévation de privilège
  • Déni de service

Criticité

  • Score CVSS v3.1: 8.8 max

La faille est activement exploitée

  • Non

Des correctifs existent

  • Oui

Des mesures de contournement existent

  • Non

Les vulnérabilités exploitées sont du type

Détails sur l’exploitation

Pour la CVE-2022-2991 :

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur à privilèges.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour les CVE-2022-2959 et CVE-2022-2978 :

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Élevée.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-2961 :

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Composants vulnérables

Pour les CVE-2022-2991, CVE-2022-2959 et CVE-2022-2978 :

  • Ces vulnérabilités affectent le noyau Linux aux versions antérieures à 5.18.16-1.

Pour la CVE-2022-2961 :

  • Cette vulnérabilité affecte le noyau Linux aux versions 6.0-rc1 et antérieures.

Solutions ou recommandations

 

Pour les CVE-2022-2991, CVE-2022-2959 et CVE-2022-2978 :

  • Mettre à jour le noyau Linux à la version 5.19.4.

Pour la CVE-2022-2961 :

  • Mettre à jour le noyau Linux à la version 6.0-rc2. 

Liens