CVE-2023-34256
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W jądrze Linuxa przed wersją 6.3.3 odkryto problem związany z odczytem poza zakresem w funkcji crc16 w pliku lib/crc16.c, wywoływanej z fs/ext4/super.c. Problem wynika z niewłaściwego sprawdzania offsetu w funkcji ext4_group_desc_csum.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego odczytu pamięci, co stwarza ryzyko ujawnienia wrażliwych danych. Istnieje kontrowersja dotycząca tego, czy problem ten jest istotny, ponieważ jądro nie jest zaprojektowane do obrony przed atakami w przypadku modyfikacji urządzenia blokowego podczas jego montowania przez system plików.
Rekomendacja
Zaleca się aktualizację jądra Linux do wersji 6.3.3 lub nowszej, aby usunąć tę podatność. Należy również rozważyć monitorowanie dostępu do urządzeń blokowych w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in the Linux kernel before 6.3.3. There is an out-of-bounds read in crc16 in lib/crc16.c when called from fs/ext4/super.c because ext4_group_desc_csum does not properly check an offset. NOTE: this is disputed by third parties because the kernel is not intended to defend against attackers with the stated "When modifying the block device while it is mounted by the filesystem" access.