CVE-2024-46865

Linux Kernel: użycie niezainicjowanej zmiennej grc w module fou

CVSS 9.8v3.1pub. 2024-09-27upd. 2026-08-04

Podatność w podsystemie fou (Foo-over-UDP) jądra Linux polega na możliwości użycia niezainicjowanej zmiennej grc przed jej przypisaniem wartości. Sklasyfikowana jako CRITICAL z wynikiem CVSS 9.8, może prowadzić do poważnych konsekwencji dla integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

In the Linux kernel, the following vulnerability has been resolved: fou: fix initialization of grc The grc must be initialize first. There can be a condition where if fou is NULL, goto out will be executed and grc would be used uninitialized.

🤖 Analiza AI

Jak działa

W module fou jądra Linux zmienna grc nie była inicjalizowana przed potencjalnym wykonaniem skoku 'goto out', który mógł nastąpić w sytuacji gdy wskaźnik fou miał wartość NULL. W takim przypadku kod kontynuował działanie z użyciem niezainicjowanej zmiennej grc, co jest klasycznym przypadkiem błędu CWE-908 (use of uninitialized resource). Poprawka wymusza inicjalizację zmiennej grc na początku funkcji, eliminując ryzyko jej użycia w niezdefiniowanym stanie.

Skutki

Atakujący może potencjalnie zdalnie wywołać nieprzewidywalne zachowanie systemu, prowadzące do ujawnienia poufnych danych, naruszenia integralności systemu lub jego niedostępności (crash jądra), ze względu na sieciową naturę modułu fou i brak wymagań uwierzytelnienia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — łatki zostały opublikowane w repozytorium kernel.org pod adresami wskazanymi w sekcji referencji. Zaleca się aktualizację jądra do wersji zawierającej poprawkę.