偵測

Amazon Linux 2023bpftool6.12、kernel6.12、kernel6.12-devel (ALAS2023-2025-1254)

high Nessus Plugin ID 271737

語言:

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，會受到 ALAS2023-2025-1254 公告中所提及的多個弱點影響。

 在 Linux 核心中，下列弱點已解決：

 io_uring/kbuf一律使用 READ_ONCE() 來讀取 ring 提供的緩衝區長度 (CVE-2025-39816)

 在 Linux 核心中，下列弱點已解決：

 cryptoaf_alg - 在 af_alg_sendmsg 中提早將合併設為零 (CVE-2025-39931)

 在 Linux 核心中，下列弱點已解決：

 dm-stripe修正可能的整數溢位 (CVE-2025-39940)

 在 Linux 核心中，下列弱點已解決：

 tls確保在標頭是假的情況下中止資料流 (CVE-2025-39946)

 在 Linux 核心中，下列弱點已解決：

 net/mlx5e針對裝置取消系結強化上傳連結 netdev 存取 (CVE-2025-39947)

 在 Linux 核心中，下列弱點已解決：

 cgroup將 cgroup_destroy_wq 分割為 3 個工作佇列 (CVE-2025-39953)

 在 Linux 核心中，下列弱點已解決：

 tcp清除 tcp_disconnect() 中的 tcp_sk(sk)->fastopen_rsk。 (CVE-2025-39955)

 在 Linux 核心中，下列弱點已解決：

 igc不要使發生 LED 設定錯誤的 igc_probe() 失敗 (CVE-2025-39956)

 在 Linux 核心中，下列弱點已解決：

 iommu/amd/pgtbl修正增加頁面表格層級時可能發生的爭用 (CVE-2025-39961)

 在 Linux 核心中，下列弱點已解決：

 io_uring修正 io_link_skb 中不正確的 io_kiocb 參照 (CVE-2025-39963)

 在 Linux 核心中，下列弱點已解決：

 cryptoaf_alg - 不允許 af_alg_sendmsg 中的並行寫入 (CVE-2025-39964)

 在 Linux 核心中，下列弱點已解決：

 xfrmxfrm_alloc_spi 不應使用 0 作為 SPI (CVE-2025-39965)

 在 Linux 核心中，下列弱點已解決：

 mmswap在 VMA 上操作前檢查穩定的位址空間 (CVE-2025-39992)

 在 Linux 核心中，下列弱點已解決：

 scsi目標target_core_configfs新增長度檢查以避免緩衝區溢位 (CVE-2025-39998)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

執行「dnf update kernel6.12 --releasever 2023.9.20251027」或 或「dnf update --advisory ALAS2023-2025-1254 --releasever 2023.9.20251027」以更新系統。

另請參閱

https://alas.aws.amazon.com//AL2023/ALAS2023-2025-1254.html

https://alas.aws.amazon.com/faqs.html

https://explore.alas.aws.amazon.com/CVE-2025-39816.html

https://explore.alas.aws.amazon.com/CVE-2025-39931.html

https://explore.alas.aws.amazon.com/CVE-2025-39940.html

https://explore.alas.aws.amazon.com/CVE-2025-39946.html

https://explore.alas.aws.amazon.com/CVE-2025-39947.html

https://explore.alas.aws.amazon.com/CVE-2025-39953.html

https://explore.alas.aws.amazon.com/CVE-2025-39955.html

https://explore.alas.aws.amazon.com/CVE-2025-39956.html

https://explore.alas.aws.amazon.com/CVE-2025-39961.html

https://explore.alas.aws.amazon.com/CVE-2025-39963.html

https://explore.alas.aws.amazon.com/CVE-2025-39964.html

https://explore.alas.aws.amazon.com/CVE-2025-39965.html

https://explore.alas.aws.amazon.com/CVE-2025-39992.html

https://explore.alas.aws.amazon.com/CVE-2025-39998.html

Plugin 詳細資訊

嚴重性: High

ID: 271737

檔案名稱: al2023_ALAS2023-2025-1254.nasl

版本: 1.2

類型: local

代理程式: unix

已發布: 2025/10/28

已更新: 2025/10/30

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

風險資訊

VPR

風險因素: High

分數: 7.4

CVSS v2

風險因素: Medium

基本分數: 6.2

時間性分數: 4.9

媒介: CVSS2#AV:L/AC:L/Au:S/C:C/I:N/A:C

CVSS 評分資料來源: CVE-2025-39955

CVSS v3

風險因素: High

基本分數: 7.1

時間性分數: 6.4

媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:amazon:linux:bpftool6.12, cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:kernel6.12-devel, p-cpe:/a:amazon:linux:kernel6.12-modules-extra, p-cpe:/a:amazon:linux:kernel6.12-headers, p-cpe:/a:amazon:linux:kernel6.12-debuginfo-common-x86_64, p-cpe:/a:amazon:linux:perf6.12, p-cpe:/a:amazon:linux:kernel6.12-libbpf-static, p-cpe:/a:amazon:linux:kernel6.12-libbpf-debuginfo, p-cpe:/a:amazon:linux:perf6.12-debuginfo, p-cpe:/a:amazon:linux:kernel-livepatch-6.12.53-69.119, p-cpe:/a:amazon:linux:kernel6.12-tools-debuginfo, p-cpe:/a:amazon:linux:kernel6.12-tools, p-cpe:/a:amazon:linux:bpftool6.12-debuginfo, p-cpe:/a:amazon:linux:python3-perf6.12, p-cpe:/a:amazon:linux:python3-perf6.12-debuginfo, p-cpe:/a:amazon:linux:kernel6.12, p-cpe:/a:amazon:linux:kernel6.12-tools-devel, p-cpe:/a:amazon:linux:kernel6.12-libbpf-devel, p-cpe:/a:amazon:linux:kernel6.12-debuginfo, p-cpe:/a:amazon:linux:kernel6.12-debuginfo-common-aarch64, p-cpe:/a:amazon:linux:kernel6.12-libbpf, p-cpe:/a:amazon:linux:kernel6.12-modules-extra-common

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2025/10/27

弱點發布日期: 2025/9/16

參考資訊

CVE: CVE-2025-39816, CVE-2025-39931, CVE-2025-39940, CVE-2025-39946, CVE-2025-39947, CVE-2025-39953, CVE-2025-39955, CVE-2025-39956, CVE-2025-39961, CVE-2025-39963, CVE-2025-39964, CVE-2025-39965, CVE-2025-39992, CVE-2025-39998