Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ima處理 ima_filter_rule_match() 傳回的錯誤碼。在 ima_match_rules() 中如果 ima_filter_rule_match() 因規則為 NULL 而傳回 -ENOENT則函式會錯誤地略過「if (!rc)」檢查並設定「result = true」 。LSM 規則會被視為符合導致 IMA 測量額外的檔案。下列狀況可能會重現此問題透過 'semodule -d' 卸載 SELinux 原則模組後如果在 ima_lsm_rules 更新之前觸發 IMA 測量則在 ima_match_rules() 中對 ima_filter_rule_match() 的第一個呼叫會傳回 -ESTALE。這會造成程式碼進入「if (rc == -ESTALE && !rule_reinitialized)」區塊、執行 ima_lsm_copy_rule() 並重試。在 ima_lsm_copy_rule() 中由於 SELinux 模組已移除規則會變成 NULL且 ima_filter_rule_match() 的第二次呼叫會傳回 -ENOENT。這會繞過「if (!rc)」檢查並導致錯誤比對。Call trace: selinux_audit_rule_match+0x310/0x3b8 security_audit_rule_match+0x60/0xa0 ima_match_rules+0x2e4/0x4a0 ima_match_policy+0x9c/0x1e8 ima_get_action+0x48/0x60 process_measurement+0xf8/0xa98 ima_bprm_check+0x98/0xd8 security_bprm_check+0x5c/0x78 search_binary_handler+0x6c/0x318 exec_binprm+ 0x58/0x1b8 bprm_execve+0xb8/0x130 do_execveat_common.isra.0+0x1a8/0x258 __arm64_sys_execve+0x48/0x68 invoke_syscall+0x50/0x128 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x44/0x200 el0t_64_sync_handler+0x100/ 0x130 el0t_64_sync+0x3c8/0x3d0 將「if (!rc)」變更為「if (rc <= 0)」修正此問題確保 -ENOENT 之類的錯誤碼不會繞過檢查而意外導致比對成功。 (CVE-2025-68740)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2025-68740

medium Nessus Plugin ID 279821

版本 1.1