CVE-2024-36031

Linux Kernel: nadpisanie czasu wygaśnięcia klucza podczas inicjalizacji

CVSS 9.8v3.1pub. 2024-05-30upd. 2025-11-04

Podatność w podsystemie zarządzania kluczami jądra Linux powoduje bezwarunkowe nadpisanie czasu wygaśnięcia klucza podczas jego inicjalizacji, ustawiając go jako permanentny. Stanowi to poważny problem m.in. dla mechanizmu rozwiązywania nazw DNS, ponieważ uniemożliwia aktualizację rekordów po wygaśnięciu klucza.

▸ Pokaż oryginał (EN)

In the Linux kernel, the following vulnerability has been resolved: keys: Fix overwrite of key expiration on instantiation The expiry time of a key is unconditionally overwritten during instantiation, defaulting to turn it permanent. This causes a problem for DNS resolution as the expiration set by user-space is overwritten to TIME64_MAX, disabling further DNS updates. Fix this by restoring the condition that key_set_expiry is only called when the pre-parser sets a specific expiry.

🤖 Analiza AI

Jak działa

Podczas procesu instantiation klucza w jądrze Linux funkcja key_set_expiry była wywoływana bezwarunkowo, co skutkowało ustawieniem czasu wygaśnięcia na wartość TIME64_MAX — czyli praktycznie nieskończoność. Poprawne zachowanie powinno polegać na wywołaniu tej funkcji wyłącznie wtedy, gdy pre-parser jawnie wskazuje określony czas wygaśnięcia. W rezultacie czas wygaśnięcia ustawiony przez przestrzeń użytkownika (user-space) był zastępowany wartością domyślną, czyniąc klucz permanentnym wbrew intencjom systemu.

Skutki

Atakujący lub nieautoryzowana strona może skorzystać z faktu, że klucze nigdy nie wygasają, aby utrzymać nieaktualne lub złośliwe dane (np. rekordy DNS) przez czas nieokreślony, omijając mechanizmy odświeżania i unieważniania kluczy. Może to prowadzić do naruszenia poufności, integralności i dostępności systemu (ocena CVSS 9.8).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawki zostały opublikowane w repozytoriach stable jądra Linux pod adresami wskazanymi w sekcji referencji CVE.