Vulnérabilité dans Kernel (CVE-2022-48651)

Résumé

Vulnérabilité dans Kernel (CVE-2022-48651). Les données peuvent être altérées par des attaquants. Atténuation : mise à jour vers 4.9.330, 4.14.295, 4.19.260, 5.4.215, 5.10.146, 5.15.71, 5.19.12 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

In the Linux kernel, the following vulnerability has been resolved:

ipvlan: Fix out-of-bound bugs caused by unset skb->mac_header

If an AF_PACKET socket is used to send packets through ipvlan and the
default xmit function of the AF_PACKET socket is changed from
dev_queue_xmit() to packet_direct_xmit() via setsockopt() with the option
name of PACKET_QDISC_BYPASS, the skb->mac_header may not be reset and
remains as the initial value of 65535, this may trigger slab-out-of-bounds
bugs as following:

=================================================================
UG: KASAN: slab-out-of-bounds in ipvlan_xmit_mode_l2+0xdb/0x330 [ipvlan]
PU: 2 PID: 1768 Comm: raw_send Kdump: loaded Not tainted 6.0.0-rc4+ #6
ardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.14.0-1.fc33
all Trace:
print_address_description.constprop.0+0x1d/0x160
print_report.cold+0x4f/0x112
kasan_report+0xa3/0x130
ipvlan_xmit_mode_l2+0xdb/0x330 [ipvlan]
ipvlan_start_xmit+0x29/0xa0 [ipvlan]
__dev_direct_xmit+0x2e2/0x380
packet_direct_xmit+0x22/0x60
packet_snd+0x7c9/0xc40
sock_sendmsg+0x9a/0xa0
__sys_sendto+0x18a/0x230
__x64_sys_sendto+0x74/0x90
do_syscall_64+0x3b/0x90
entry_SYSCALL_64_after_hwframe+0x63/0xcd

The root cause is:

packet_snd() only reset skb->mac_header when sock->type is SOCK_RAW
and skb->protocol is not specified as in packet_parse_headers()
packet_direct_xmit() doesn't reset skb->mac_header as dev_queue_xmit()

In this case, skb->mac_header is 65535 when ipvlan_xmit_mode_l…

Source: OSV.dev (Open Source Vulnerabilities) NVD OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2022-48651 a été découverte dans Kernel.
Les données peuvent être altérées par des attaquants.
Action : mettez à jour Kernel vers 4.9.330, 4.14.295, 4.19.260, 5.4.215, 5.10.146, 5.15.71, 5.19.12 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « Kernel CVE-2022-48651 » sur le site de l'éditeur.

CVE-2022-48651 (Kernel)
Vecteur d'attaque : local / non authentifié / sans interaction utilisateur
Correctif : 4.9.330, 4.14.295, 4.19.260, 5.4.215, 5.10.146, 5.15.71, 5.19.12 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (non classée) affecte Kernel.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de Kernel.

🔥 Gravité

Gravité : ?. Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 4.9.330, 4.14.295, 4.19.260, 5.4.215, 5.10.146, 5.15.71, 5.19.12.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r 'Kernel' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で Kernel を grep し、稼働しているサービス・バージョンを把握する。
2
Apply patch patch
```
Upgrade Kernel to 4.9.330, 4.14.295, 4.19.260, 5.4.215, 5.10.146, 5.15.71, 5.19.12
```
ステージング環境で 4.9.330, 4.14.295, 4.19.260, 5.4.215, 5.10.146, 5.15.71, 5.19.12 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
3
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

Linux Kernel

[{"type":"ECOSYSTEM","events":[{"introduced":"3.19.0"},{"fixed":"4.9.330"}]},{"type":"ECOSYSTEM","events":[{"introduced":"4.10.0"},{"fixed":"4.14.295"}]},{"type":"ECOSYSTEM","events":[{"introduced":"4.15.0"},{"fixed":"4.19.260"}]},{"type":"ECOSYSTEM","events":[{"introduced":"4.20.0"},{"fixed":"5.4.215"}]},{"type":"ECOSYSTEM","events":[{"introduced":"5.5.0"},{"fixed":"5.10.146"}]},{"type":"ECOSYSTEM","events":[{"introduced":"5.11.0"},{"fixed":"5.15.71"}]},{"type":"ECOSYSTEM","events":[{"introduced":"5.16.0"},{"fixed":"5.19.12"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Debian DEBIAN-CVE-2022-48651 linux Corrigé dans: 5.10.148-1
Ubuntu UBUNTU-CVE-2022-48651 linux-azure Corrigé dans: 4.15.0-1162.177~14.04.1