📚 Linux Kernel bis 4.4.1 crypto/algif_skcipher.c lrw_crypt Denial of Service

🕛 Zeit seit Veröffentlichung: 2710 Tage, 12 Stunden 47 Minuten
📆 Veröffentlicht am: 28.11.2016 um 01:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

In Linux Kernel bis 4.4.1, ein Betriebssystem, wurde eine problematische Schwachstelle ausgemacht. Das betrifft die Funktion lrw_crypt der Datei crypto/algif_skcipher.c. Dank der Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (NULL Pointer Dereference) ausgenutzt werden. Dies hat Einfluss auf die Verfügbarkeit.

Die Schwachstelle wurde am 28.11.2016 öffentlich gemacht. Die Verwundbarkeit wird als CVE-2015-8970 geführt. Der Angriff muss lokal angegangen werden. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Ein Aktualisieren auf die Version 4.4.2 vermag dieses Problem zu lösen.

Mit dieser Schwachstelle verwandte Einträge finden sich unter 93842, 93843, 93844 und 93845.

CVSSv3

Base Score: 3.3 [?]
Temp Score: 3.2 [?]
Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:X [?]
Zuverlässigkeit: Medium

CVSSv2

Base Score: 1.5 (CVSS2#AV:L/AC:M/Au:S/C:N/I:N/A:P) [?]
Temp Score: 1.3 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: Medium

CPE

• cpe:/o:linux:linux_kernel:4.4.0
• cpe:/o:linux:linux_kernel:4.4.1

Exploiting

Klasse: Denial of Service
Lokal: Ja
Remote: Nein

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Kernel 4.4.2

Timeline

28.11.2016 Advisory veröffentlicht
28.11.2016 VulDB Eintrag erstellt
28.11.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2015-8970 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 93842, 93843, 93844, 93845

Eintrag

Erstellt: 28.11.2016
Eintrag: 73.7% komplett
...