PT-2022-1368 · Linux+6 · Linux Kernel+6
Szymon Heidrich
·
Publicado
2022-02-16
·
Atualizado
2023-08-14
·
CVE-2022-25258
CVSS v2.0
6.8
Média
| Vetor | AV:L/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do kernel Linux anteriores à 5.16.10
Descrição
O problema está relacionado ao subsistema USB Gadget no kernel do Linux, que carece de certas validações de solicitações de descritores de interface do sistema operacional. Isso pode levar à corrupção de memória. A vulnerabilidade está associada à ausência de uma verificação de limites na função
composite setup do arquivo composite.c, permitindo uma possível gravação fora dos limites. Isso poderia levar à escalada local de privilégios ao conectar um dispositivo USB malicioso, sem a necessidade de privilégios de execução adicionais. Não é necessária interação do usuário para a exploração.Recomendações
Para versões do kernel Linux anteriores à 5.16.10, atualize para a versão 5.16.10 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso de dispositivos USB para minimizar o risco de exploração.
Correção
NULL Pointer Dereference
Buffer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Linuxmint
Linux Kernel
Red Os
Suse
Ubuntu