Linux Distros 未修補弱點：CVE-2022-49899
medium Nessus Plugin ID 244671
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，廠商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- fscrypt：停止使用金鑰環子系統進行fscrypt_master_key fs/crypto/ 在內部管理fscrypt_master_key結構的方法，因為結構金鑰金鑰環中包含的結構金鑰物件的負載已過時。最初的想法是透過重複使用鑰匙圈子系統中的程式碼來簡化程式碼。不過，出現了幾個無法輕鬆解決的問題：- 當主要金鑰結構遭到破壞時，必須在內嵌其中的任何每個模式金鑰上呼叫 blk_crypto_evict_key（）。（當新增內嵌加密支援時，情況就開始出現。然而，金鑰環子系統可以任意延遲金鑰的銷毀，甚至超過檔案系統被卸載的時間。因此，目前沒有簡單的方法可以在主要金鑰被破壞時呼叫 blk_crypto_evict_key（）。目前，可以透過保留對檔案系統request_queue的額外參照來解決此問題。但忽略了 request_queue 引用*不能*保證也固定相應的blk_crypto_profile;對於支援內嵌加密的裝置對應程式裝置，則不會。這可能會導致釋放後使用。- 當使用未完全移除主要金鑰的最後一個 inode 被驅逐時，透過從金鑰環中移除金鑰結構來完成主要金鑰的移除。目前這是透過 key_invalidate（） 完成的。然而，key_invalidate（） 佔據了關鍵的信號量。從縮減器呼叫時，這可能會鎖死，因為在 fscrypt_ioctl_add_key（） 中，記憶體是在同一個信號量下與GFP_KERNEL一起分配的。
- 更一般地說，金鑰環子系統可以任意延遲金鑰的銷毀 （透過垃圾收集延遲，或透過隨機程序取得臨時金鑰參照） 是不可取的，因為這表示我們無法嚴格保證所有密碼都會被清除。- 透過金鑰環子系統執行主要金鑰查詢會導致呼叫key_permission LSM 勾點。fscrypt 不希望這樣，因為加密檔案的所有存取控制都設計為透過檔案本身進行，就像任何其他檔案一樣。
SELinux 使用者使用的因應措施是變更其 SELinux 原則，以授予所有網域的金鑰搜尋存取權。這很有效，但這是一個奇怪的額外步驟，實際上不應該完成。所有這些問題的解決方法是將實作更改為我最初應該做的事情：不要使用金鑰環子系統來追蹤檔案系統的fscrypt_master_key結構。相反，只需將它們儲存在常規核心資料結構中，並相應地重新設計參照計數、鎖定和存留期。
使用雜湊表保留對 RCU 模式金鑰查詢的支援。將 fscrypt_sb_free（） 替換為 fscrypt_sb_delete（），它會同步釋放金鑰，並在卸載期間提前運行，以便區塊裝置仍然可用。此修補程式的副作用是，主要金鑰本身和檔案系統金鑰環將不再列在 /proc/keys 中。（仍會列出主要金鑰使用者和主要金鑰使用者金鑰環。不過，這主要是一個實作細節，而且只是為了偵錯目的。我不知道有人使用它。此修補程式不會*不會*改變主要金鑰使用者 （->mk_users） 的工作方式;仍然使用 Keyrings 子系統。關鍵配額仍然需要這，並且沒有必要更改它來解決上面列出的問題。如果我們也決定改變這一點，那將是一個單獨的補丁。我已將其標記為修復新增 fscrypt 金鑰環的原始提交，但如上所述，此修補程式修復的最重要的問題直到新增內聯加密支援後才引入。（CVE-2022-49899）
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 244671
檔案名稱: unpatched_CVE_2022_49899.nasl
版本: 1.14
類型: Local
代理程式: unix
系列: Misc.
已發布: 2025/8/7
已更新: 2026/9/30
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 3
百分位數: 23.18
CVSS v3
風險因素: Medium
基本分數: 5.5
時間性分數: 5.1
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
CVSS 評分資料來源: CVE-2022-49899
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:linux-allwinner-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.0, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-aws-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-aws-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-aws, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-azure-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-azure-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-azure-edge, p-cpe:/a:canonical:ubuntu_linux:linux-azure-fde-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-azure-fde-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-azure-fde, p-cpe:/a:canonical:ubuntu_linux:linux-azure, p-cpe:/a:canonical:ubuntu_linux:linux-bluefield, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-gcp, p-cpe:/a:canonical:ubuntu_linux:linux-gke-4.15, p-cpe:/a:canonical:ubuntu_linux:linux-gke-5.15, p-cpe:/a:canonical:ubuntu_linux:linux-gke-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-gke, p-cpe:/a:canonical:ubuntu_linux:linux-gkeop-5.15, p-cpe:/a:canonical:ubuntu_linux:linux-gkeop-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-gkeop, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-edge, p-cpe:/a:canonical:ubuntu_linux:linux-hwe, p-cpe:/a:canonical:ubuntu_linux:linux-ibm-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-ibm, p-cpe:/a:canonical:ubuntu_linux:linux-intel-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-intel-iot-realtime, p-cpe:/a:canonical:ubuntu_linux:linux-iot, p-cpe:/a:canonical:ubuntu_linux:linux-kvm, p-cpe:/a:canonical:ubuntu_linux:linux-lowlatency-hwe-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-lowlatency-hwe-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-lowlatency-hwe-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-nvidia-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-nvidia-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.10, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.14, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.17, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.6, p-cpe:/a:canonical:ubuntu_linux:linux-oem-6.0, p-cpe:/a:canonical:ubuntu_linux:linux-oem-6.1, p-cpe:/a:canonical:ubuntu_linux:linux-oem-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-oem, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.0, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-oracle, p-cpe:/a:canonical:ubuntu_linux:linux-raspi-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-raspi-realtime, p-cpe:/a:canonical:ubuntu_linux:linux-raspi2, p-cpe:/a:canonical:ubuntu_linux:linux-raspi, p-cpe:/a:canonical:ubuntu_linux:linux-realtime, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-riscv, p-cpe:/a:canonical:ubuntu_linux:linux-starfive-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-starfive-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-starfive-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-xilinx-zynqmp, p-cpe:/a:canonical:ubuntu_linux:linux
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2022/12/8
參考資訊
CVE: CVE-2022-49899