CVE-2024-26748: luka w jądrze Linux dotycząca podwójnego zwolnienia pamięci w sterowniku USB cdns3

Co wiadomo

W jądrze Linux wykryto i załatano lukę w sterowniku USB cdns3, polegającą na podwójnym zwolnieniu pamięci podczas obsługi pakietu zerowej długości. Błąd ten mógł prowadzić do błędów typu use-after-free, co stwarza ryzyko niestabilności systemu lub potencjalnego wykorzystania przez atakującego.

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 7.8) może wpływać na stabilność i bezpieczeństwo systemów korzystających z jądra Linux z włączonym sterownikiem cdns3 USB. Operatorzy infrastruktury powinni być świadomi ryzyka awarii lub eskalacji uprawnień w środowiskach, gdzie ten sterownik jest aktywny, zwłaszcza w urządzeniach wbudowanych i systemach korzystających z USB Gadget Framework.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie jądra Linux do wersji zawierającej poprawkę dla CVE-2024-26748. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć ekspozycję urządzeń korzystających ze sterownika cdns3, monitorować logi systemowe pod kątem błędów związanych z USB oraz priorytetyzować wdrożenie aktualizacji w środowiskach krytycznych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference