Debian (DSA) Seite 3

Das TLS-Protokoll sowie SSL 3.0 und frühere Versionen weisen eine Schwachstelle auf, die in verschiedenen Implementierungen wie nginx genutzt wird und Angreifern ermöglicht, Daten in eine Verbindung einzuschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 87.3 %.

Die in Log4j 1.2 enthaltene SocketServer-Klasse ist anfällig für die Deserialisierung nicht vertrauenswürdiger Daten, was in Kombination mit einem geeigneten Deserialisierungs-Gadget zur Ausführung beliebigen Codes aus der Ferne ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 69.1 %.

In FasterXML jackson-databind vor Version 2.9.10.4 wird laut NVD das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt. Betroffen ist unter anderem das Gadget br.com.anteros.dbcp.AnterosDBCPConfig (auch bekannt als anteros-core), über das sich die Schwachstelle ausnutzen lässt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

In der weit verbreiteten Kompressionsbibliothek zlib (bis einschliesslich Version 1.2.12) besteht in der Funktion inflate (inflate.c) ein heap-basiertes Buffer-Over-Read beziehungsweise ein Pufferüberlauf, der über ein grosses Extra-Feld im gzip-Header ausgelöst wird. Betroffen sind ausschliesslich Anwendungen, die inflateGetHeader aufrufen. Da zlib in zahlreiche Produkte eingebettet ist, führen mehrere Hersteller (unter anderem ABB, NetApp, Rockwell Automation, Node.js und Apple) eigene Advisories. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 17.9 %. Laut ABB PSIRT sind 2 Produkt(e) betroffen, 0 mit Fix. Empfohlene Massnahme: betroffene Komponenten gemäss den jeweiligen Hersteller-Advisories auf eine korrigierte zlib-Version aktualisieren.

In Mbed TLS vor Version 2.28.1 sowie in den 3.x-Versionen vor 3.2.0 wurde ein Fehler entdeckt: In bestimmten Konfigurationen kann ein nicht authentifizierter Angreifer eine ungültige ClientHello-Nachricht an einen DTLS-Server senden und damit einen Heap-Fehler auslösen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %. Empfohlene Massnahme: auf Mbed TLS 2.28.1 bzw. 3.2.0 oder neuer aktualisieren.

Im TIPC-Subsystem des Linux-Kernels wurde ein Use-after-free im Fehlerpfad der Funktion tipc_buf_append() behoben. Der Fehler wurde über das Zero Day Initiative gemeldet und liess sich laut Quelle über per UDP empfangene TIPC-Pakete auslösen (KASAN-Report: slab-use-after-free in kfree_skb_list_reason). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %. Die Schwachstelle ist laut Quelle im Linux-Kernel behoben; entsprechende Kernel-Updates einspielen.

In libxslt bis Version 1.1.33 kann laut NVD ein Schutzmechanismus umgangen werden, da Aufrufer von xsltCheckRead und xsltCheckWrite den Zugriff auch bei einem Fehlercode -1 zulassen. Dies ermöglicht den Zugriff auf unerlaubte Ressourcen. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

Mbed TLS vor Version 3.0.1 gibt unter bestimmten Out-of-Memory-Bedingungen Speicher doppelt frei (Double Free). Demonstriert wurde das Verhalten laut Quelle über ein Fehlschlagen von mbedtls_ssl_set_session(). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Betroffen sind unter anderem die Distributionspakete von Debian, Amazon Linux, Oracle Linux und Rocky Linux. Empfohlene Massnahme: Auf Mbed TLS 3.0.1 oder neuer beziehungsweise auf die aktualisierten Distributionspakete wechseln.

Im Linux-Kernel wurde eine Schwachstelle im Hyper-V-VMBus-Code behoben. In Confidential-Computing-VMs kann ein nicht vertrauenswürdiger Host dazu führen, dass set_memory_encrypted() beziehungsweise set_memory_decrypted() fehlschlägt und der resultierende Speicher geteilt wird. Der VMBus-Code konnte entschlüsselte Seiten freigeben, wenn diese Aufrufe fehlschlagen; die Korrektur lässt die Seiten in diesem Fall bewusst liegen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Im UDP-Code des Linux-Kernels wurde eine Schwachstelle behoben: Laut NVD-Beschreibung können bei aktiviertem rx-udp-gro-forwarding UDP-Pakete per GRO zusammengefasst werden und dabei fälschlich in einem Tunnel landen, obwohl sie keine Tunnel-Pakete sind. Betroffen ist laut Zuordnung Debian (DSA). CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Im Linux-Kernel wurde ein Dangling-Pointer in ksmbd behoben: krb_authenticate() gibt sess->user frei, ohne den Zeiger anschliessend auf NULL zu setzen, wodurch er weiterverwendet werden konnte. Ubuntu behandelt die Schwachstelle in den Sicherheitshinweisen USN-8528-1 (Xilinx ZynqMP), USN-8527-1 (Raspberry Pi) und USN-8547-2 (Azure FIPS). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die bereitgestellten Kernel-Updates der jeweiligen Distribution einspielen.

Im ksmbd-Modul des Linux-Kernels konnte das Senden mehrerer Session-Setup-Anfragen durch einen Client eine Race Condition beim Preauh_HashValue auslösen; der Fehler wurde im Kernel behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die von Debian bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde ein Pufferüberlauf im cifs-Modul beim Parsen von NFS-Reparse-Points behoben. Die Funktion cifs_strndup_from_utf16() griff auf Daten hinter dem Ende des Puffers zu, weil die Grösse des InodeType-Felds nicht von der ReparseDataLength abgezogen wurde; zudem fehlten Prüfungen der Puffergrösse vor dem Zugriff auf InodeType und die rdev-Werte. Ein lokaler Angreifer mit niedrigen Rechten kann darüber die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Kernel-Version mit dem enthaltenen Fix aktualisieren.

Im Linux-Kernel wurde eine Schwachstelle im TLS-Subsystem behoben: Die Behandlung nicht-asynchroner Entschlüsselungsanfragen wurde von der asynchronen Verarbeitung getrennt, da im synchronen Fall keine Referenzzählung nötig ist und lediglich auf den Abschluss gewartet werden muss. Der Patch verweist auf eine frühere Race-Condition zwischen asynchroner Benachrichtigung und dem Schliessen des Sockets, die bereits separat korrigiert wurde, und bereitet eine weitere Korrektur vor. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: einen Kernel mit dem entsprechenden Fix einsetzen.

Im SUNRPC-Subsystem des Linux-Kernels gibt die Funktion gssx_dec_option_array bei Fehlerpfaden die Objekte creds und oa->data nicht frei, was laut Quelle zu Speicherlecks führt. Der Fehler wird über Debian Security Advisories (DSA) nachverfolgt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das Perl-Modul Crypt::DSA verwendet in Versionen vor 1.21 dieselbe Nonce über mehrere Signaturen hinweg. Crypt::DSA::sign legt das Nonce-Material pro Signatur im Key-Objekt ab, ohne es zu erneuern; damit lässt sich der private Schlüssel rekonstruieren. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Crypt::DSA 1.21 oder neuer aktualisieren.

Im Linux-Kernel wurde ein Use-after-free im SMB-Client behoben: Die Korrektur zu CVE-2024-50047 hatte die asynchrone Krypto-Behandlung aus crypt_message() entfernt und ging davon aus, dass alle Krypto-Operationen synchron ablaufen. Beim Einsatz von Hardware-Krypto-Beschleunigern kehrt crypto_aead_encrypt/decrypt() jedoch mit -EINPROGRESS sofort zurück, und der Anfragepuffer wurde freigegeben, während die Operation noch lief – der Treiber griff später auf den freigegebenen Speicher zu und verursachte Kernel-Abstürze. Die Korrektur stellt die asynchrone Behandlung mit crypto_wait_req() und Callback wieder her, sodass der Puffer erst nach Abschluss der Operation freigegeben wird. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle im NVMe-Treiber behoben: Muss eine Discard-Anfrage wiederholt werden und schlägt der neue Versuch fehl, bevor eine neue Special Payload angelegt ist, kommt es zu einem Double Free. Der Fix löscht das Flag RQF_SPECIAL_LOAD beim Aufräumen der Anfrage. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: aktualisierte Kernel-Pakete mit dem Fix einspielen.

Im Linux-Kernel wurde im 9p-Netzwerkprotokoll eine Schwachstelle in p9_client_write() und p9_client_read_once() behoben: Lieferte der Server eine unplausible negative Antwort, wurde diese fehlerhaft verarbeitet. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Fehler wird über den Kernel, der bei Debian im Rahmen einer DSA geführt wird, als betroffen ausgewiesen. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im Tunnel-Code des Linux-Kernels wurde ein Out-of-Bounds-Zugriff beim Aufbau eines IPv6-PMTU-Fehlers behoben: Wird der ICMPv6-Fehler laut Quelle aus einem nicht-linearen skb-Puffer aufgebaut, kam es zu einem fehlerhaften Zugriff. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Debian (DSA) betrifft die Lücke Debian-Systeme.

Im Xilinx-Crypto-Treiber des Linux-Kernels wurde eine Schwachstelle behoben: Laut NVD-Beschreibung muss beim Aufruf von crypto_finalize_request die Bottom-Half-Verarbeitung (BH) deaktiviert sein, um ein unerwünschtes Auslösen zu vermeiden. Betroffen ist laut Zuordnung Debian (DSA). CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde laut NVD eine Schwachstelle im TLS-Subsystem behoben: recvmsg()-Aufrufe müssen entweder ausschliesslich zusammenhängende DATA-Records oder genau einen Nicht-DATA-Record verarbeiten; wechselt der Record-Typ, wird die Verarbeitungsschleife beendet, und bereits entschlüsselte Records werden für den nächsten Aufruf auf der rx_list zwischengespeichert. Da Zero-Copy-Entschlüsselung direkt in den Nutzerspeicher erfolgt und dabei kein skb zum Zwischenspeichern existiert, war ein Fall nicht abgedeckt: ein initialer Record aus der rx_list mit Länge null. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle in openvswitch behoben: Ein unerwartetes MPLS-Paket ohne unterste Label-Stack-Markierung konnte bei vielen Stacks einen Zählerüberlauf und dadurch eine Endlosschleife auslösen, die schliesslich zu einem Soft-Lockup bzw. CPU-Stillstand führte. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: den korrigierten Kernel bzw. das entsprechende Distributions-Update einspielen.

Im Linux-Kernel wurde in nfsd eine Schwachstelle in nfsd4_spo_must_allow() behoben: Die Funktion prüfte nicht, ob es sich bei der verarbeiteten Anfrage tatsächlich um einen v4-Compound-Request handelt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Fehler wird über den Kernel, der bei Debian im Rahmen einer DSA geführt wird, als betroffen ausgewiesen. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im bnxt_en-Treiber des Linux-Kernels wurde beim Versand eines XDP_REDIRECT-Pakets dma_unmap_len_set() mit einer falschen Länge aufgerufen; der Fehler wurde im Kernel behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Debian bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde eine Schwachstelle in nfsd behoben: nfsd4_setclientid_confirm() prüfte den Rückgabewert von get_client_locked() nicht. Ein SETCLIENTID_CONFIRM konnte mit dem Ablauf eines bestätigten Clients kollidieren und keine Referenz erhalten, was später zu einem Use-after-free führen konnte. Der Fix holt frühzeitig eine Referenz. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: den korrigierten Kernel bzw. das entsprechende Distributions-Update einspielen.

Im Linux-Kernel wurde im x86-SEV-Code eine Schwachstelle behoben, bei der beim Validieren von SNP-Speicher keine Cache-Zeilen ausgeräumt wurden, was eine Cache-Kohärenzlücke ermöglichte. Laut Debian Security Advisory ist die betroffene Kernel-Komponente in Debian enthalten. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Debian bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde im SCSI-iSCSI-Target eine Schwachstelle behoben: Der NOPIN-Response-Timer konnte auf einer bereits gelöschten Verbindung ablaufen und dabei abstürzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Fehler wird über den Kernel, der bei Debian im Rahmen einer DSA geführt wird, als betroffen ausgewiesen. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im SMB/CIFS-Client des Linux-Kernels kann eine Race Condition in cifs_oplock_break() beim Unmounten zu einem Use-after-free der cinode-Struktur führen: Gibt _cifsFileInfo_put() die letzte Referenz auf den Superblock frei, werden dessen Inodes umgehend aufgeräumt, während cifs_oplock_break() weiterhin auf die cinode zugreift. Behoben wurde das Problem, indem während der gesamten Oplock-Break-Operation eine zusätzliche Referenz auf den Superblock gehalten wird. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Im Linux-Kernel wurde im AVX2-Pfad von netfilter nf_set_pipapo_avx2 eine Schwachstelle behoben: Deckt das erste Feld nicht die gesamte Start-Map ab, wurde diese laut Quelle nicht korrekt genullt. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde ein Fehler im DRBD-Treiber behoben: Bei aktivierter two-primaries-Konfiguration fehlte in der Behandlung überholter (superseeded) Schreibkonflikte ein kref_get, was zu einem vorzeitigen drbd_destroy_device, Use-after-free und Kernel-Abstürzen führen konnte. Laut Quelldaten wird dieser Codepfad in der Praxis kaum durchlaufen, da Cluster-Dateisysteme und Live-Migration gleichzeitige Schreibzugriffe bereits auf höherer Ebene koordinieren. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im RDMA-iWARP-Connection-Manager (iwcm) des Linux-Kernels können die pro cm_id allokierten Work-Objekte einem Use-after-free unterliegen: Wird die letzte Referenz auf die cm_id innerhalb eines Event-Handler-Works freigegeben, wird auch das Work-Objekt des gerade laufenden Works freigegeben. Der per KASAN nachgewiesene Fehler ist mit dem blktests-Testfall nvme/061 über den rdma-Transport und den siw-Treiber reproduzierbar. Der Fix stellt sicher, dass die letzte Referenz nicht im Event-Handler, sondern im Zerstörungskontext der cm_id freigegeben wird. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Im Linux-Kernel wurden Race Conditions im MPTCP-Subsystem behoben, die zwischen dem Fehlschlagen eines Subflows und dem Anlegen zusätzlicher Subflows auftreten konnten. Die Korrektur führt ein separates, durch das Fallback-Lock geschütztes Flag ein, das die Erstellung weiterer Subflows unterbindet, sobald der Socket-Zustand dies verlangt – etwa nach einem Socket-Fallback oder beim Senden bzw. Empfangen einer MP_FAIL-Option. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im Netfilter-Conntrack-Modul des Linux-Kernels kann das Entfernen eines nicht initialisierten Eintrags zu einem Absturz führen; entsprechende Crashes beim Unlinking wurden gemeldet. Betroffen ist Debian (DSA). Der Fehler wurde im Linux-Kernel-Upstream behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle im BPF-Subsystem behoben: Wird bpf_redirect_peer verwendet, um Pakete an ein Gerät in einem anderen Netzwerk-Namespace umzuleiten, wird das Paket nun bereinigt (scrub). CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die bereitgestellten Kernel-Updates der betroffenen Distributionen einspielen.

Im TLS-Subsystem des Linux-Kernels konnte beim Prüfen, ob alle Socket-Buffer in der Queue denselben Entschlüsselungszustand und dieselbe Geometrie haben, auf einen veralteten SKB zugegriffen werden – KASAN meldete einen Slab-Use-after-free in tls_strp_check_rcv(). Zutage gefördert wurde der Fehler durch Änderungen im Netzwerk-Stack, die SKBs deutlich aggressiver kompaktieren. Laut NVD ist das Problem behoben, indem die Queue beim Lesen stets neu geladen wird. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von der Distribution bereitgestellten Kernel-Updates einspielen.

Im IPv6-RPL-Tunnelcode des Linux-Kernels holt rpl_do_srh_inline() den Zeiger auf den IPv6-Header und greift nach einem Aufruf von skb_cow_head() erneut darauf zu – zu diesem Zeitpunkt kann der Header jedoch bereits freigegeben sein, was ein Use-after-free auslöst. Der Fehler wurde per KASAN als Slab-Use-after-free nachgewiesen und behoben, indem der alte Header in eine lokale Struktur kopiert statt als Zeiger weiterverwendet wird. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

Im Linux-Kernel wurde in ipv6/sr eine Schwachstelle behoben: Zur Vermeidung von Timing-Angriffen müssen MACs in konstanter Zeit verglichen werden; der Vergleich wurde entsprechend angepasst. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Der Fehler wird über den Kernel, der bei Debian im Rahmen einer DSA geführt wird, als betroffen ausgewiesen. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde im HSR-Netzwerkprotokoll (net, hsr) eine Schwachstelle behoben: Der Empfang eines HSR-Frames mit unzureichendem Platz für das HSR-Tag im skb konnte zu einem Fehler führen; solche Frames werden nun zurückgewiesen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Der Fehler wird über den Kernel, der bei Debian im Rahmen einer DSA geführt wird, als betroffen ausgewiesen. Empfohlene Massnahme: die von der jeweiligen Distribution bereitgestellten Kernel-Updates einspielen.