Linux Distros 未修補的弱點：CVE-2025-38457
high Nessus Plugin ID 247718
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- net/sched如果父類別不存在則中止 __tc_modify_qdisc。Lion 的修補程式 [1] 發現 qdisc API 中有一個舊式錯誤。每當使用者建立/修改將另一個 qdisc 指定為父項的 qdisc 時qdisc API 會在偵測到使用者未嘗試附加至某個類別並拒絕。不過移植是在執行 qdisc_create (以及因此 qdisc 的 init 回呼) 之後執行。在 init 或變更 (例如 fq、hhf、choke 等) 最終呼叫 qdisc_tree_reduce_backlog 的 qdisc 中會發生問題。例如執行下列命令sudo tc qdisc add dev lo root handle ahtb default 2 sudo tc qdisc add dev lo parent a處理最重要的 fq Qdiscs例如 fq、hhf、choke 等等會無條件在其檔案中叫用 qdisc_tree_reduce_backlog()控制路徑 init() 或 change()其後會造成尋找子類別失敗；不過這並不會停止假設之具有 null 類別之子 qdisc 的 qlen_notify 無條件叫用。所有這些 qdisc 都假設 class 為非 null。解決方案是確保查閱父項類別且在 qdisc_create() 之前叫用的 qdisc_leaf() 在找不到類別時傳回失敗。在此修補程式中每當 parentid 未對應至某個類別時我們會利用 qdisc_leaf 傳回 ERR_PTR如此我們就可以更早地偵測到它並在呼叫 qdisc_create 之前中止。 [1] https://lore.kernel.org/netdev/[email protected]/ (CVE-2025-38457)
請注意，Nessus 依賴供應商報告的套件存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 247718
檔案名稱: unpatched_CVE_2025_38457.nasl
版本: 1.1
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/8/10
已更新: 2025/8/10
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.0
CVSS v2
風險因素: High
基本分數: 7.2
時間性分數: 5.3
媒介: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2025-38457
CVSS v3
風險因素: High
基本分數: 7.1
時間性分數: 6.2
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:linux, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:12.0
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2025/7/25
參考資訊
CVE: CVE-2025-38457