Vulnérabilité dans Kernel (CVE-2024-36892)

Résumé

Vulnérabilité dans Kernel (CVE-2024-36892). Risque d'opérations non autorisées ou de divulgation. Exploitable via init_on_free. Atténuation : mise à jour vers 6.8.10 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

In the Linux kernel, the following vulnerability has been resolved:

mm/slub: avoid zeroing outside-object freepointer for single free

Commit 284f17ac13fe ("mm/slub: handle bulk and single object freeing
separately") splits single and bulk object freeing in two functions
slab_free() and slab_free_bulk() which leads slab_free() to call
slab_free_hook() directly instead of slab_free_freelist_hook().

If init_on_free is set, slab_free_hook() zeroes the object.
Afterward, if slub_debug=F and CONFIG_SLAB_FREELIST_HARDENED are
set, the do_slab_free() slowpath executes freelist consistency
checks and try to decode a zeroed freepointer which leads to a
"Freepointer corrupt" detection in check_object().

During bulk free, slab_free_freelist_hook() isn't affected as it always
sets it objects freepointer using set_freepointer() to maintain its
reconstructed freelist after init_on_free.

For single free, object's freepointer thus needs to be avoided when
stored outside the object if init_on_free is set. The freepointer left
as is, check_object() may later detect an invalid pointer value due to
objects overflow.

To reproduce, set slub_debug=FU init_on_free=1 log_level=7 on the
command line of a kernel build with CONFIG_SLAB_FREELIST_HARDENED=y.

dmesg sample log:
[ 10.708715] =============================================================================
[ 10.710323] BUG kmalloc-rnd-05-32 (Tainted: G B T ): Freepointer corrupt
[ 10.712695] ----------------…

Source: OSV.dev (Open Source Vulnerabilities) NVD OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2024-36892 a été découverte dans Kernel.
Des attaquants peuvent cibler un point d'entrée spécifique comme init_on_free à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour Kernel vers 6.8.10 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « Kernel CVE-2024-36892 » sur le site de l'éditeur.

CVE-2024-36892 (Kernel)
Surface d'attaque : init_on_free / CONFIG_SLAB_FREELIST_HARDENED
Correctif : 6.8.10 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (non classée) affecte Kernel. Les attaquants atteignent le code vulnérable via init_on_free.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de Kernel. Surface d'attaque : init_on_free / CONFIG_SLAB_FREELIST_HARDENED.

🔥 Gravité

Gravité : ?. Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 6.8.10.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r 'Kernel' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で Kernel を grep し、稼働しているサービス・バージョンを把握する。
2
Apply patch patch
```
Upgrade Kernel to 6.8.10
```
ステージング環境で 6.8.10 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
3
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

Linux Kernel

[{"type":"ECOSYSTEM","events":[{"introduced":"6.8.0"},{"fixed":"6.8.10"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Debian DEBIAN-CVE-2024-36892 linux Corrigé dans: 6.8.11-1