keys: Fix overwrite of key expiration on instantiation (Linux Linux)
En bref
- Source
- NVD
- EPSS
- EPSS 0.75 % · centile 55 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- Linux
- Statut NVD
- Modified
Description
In the Linux kernel, the following vulnerability has been resolved: keys: Fix overwrite of key expiration on instantiation The expiry time of a key is unconditionally overwritten during instantiation, defaulting to turn it permanent. This causes a problem for DNS resolution as the expiration set by user-space is overwritten to TIME64_MAX, disabling further DNS updates. Fix this by restoring the condition that key_set_expiry is only called when the pre-parser sets a specific expiry.
Faiblesses (CWE)
- CWE-324 — Use of a Key Past its Expiration Date
Références
- https://git.kernel.org/stable/c/ad2011ea787928b2accb5134f1e423b11fe80a8a
- https://git.kernel.org/stable/c/ed79b93f725cd0da39a265dc23d77add1527b9be
- https://git.kernel.org/stable/c/e4519a016650e952ad9eb27937f8c447d5a4e06d
- https://git.kernel.org/stable/c/25777f3f4e1f371d16a594925f31e37ce07b6ec7
- https://git.kernel.org/stable/c/939a08bcd4334bad4b201e60bd0ae1f278d71d41
- https://git.kernel.org/stable/c/cc219cb8afbc40ec100c0de941047bb29373126a
- https://git.kernel.org/stable/c/9da27fb65a14c18efd4473e2e82b76b53ba60252
- https://lists.debian.org/debian-lts-announce/2024/06/msg00019.html
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | CRITICAL 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | CISA-ADP |
| CVSS 3.1 | CRITICAL 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Références européennes
- ENISA EUVD · EUVD-2024-35841
- GCVE · GCVE-0-2024-36031
Avis du CERT-FR
- CERTFR-2024-AVI-1102 — Multiples vulnérabilités dans le noyau Linux de SUSE · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0799 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0716 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0694 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0667 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0645 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0611 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0527 — Multiples vulnérabilités dans le noyau Linux de Debian LTS · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0472 — Multiples vulnérabilités dans le noyau Linux de Debian · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 5.10.206 < 5.10.217cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 5.15.146 < 5.15.159cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.1.70 < 6.1.91cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.6.9 < 6.6.31cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.7 < 6.8.10cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.9 < 6.9.1
Produits affectés
| Produit | Versions |
|---|---|
| Linux · Linux | affected 97be1e865e70e5a0ad0a5b5f5dca5031ca0b53ac < ad2011ea787928b2accb5134f1e423b11fe80a8a ; affected 2552b32b0b349df160a509fe49f5f308cb922f2b < ed79b93f725cd0da39a265dc23d77add1527b9be ; affected 791d5409cdb974c31a1bc7a903ea729ddc7d83df < e4519a016650e952ad9eb27937f8c447d5a4e06d ; affected afc360e8a1256acb7579a6f5b6f2c30b85b39301 < 25777f3f4e1f371d16a594925f31e37ce07b6ec7 ; affected 39299bdd2546688d92ed9db4948f6219ca1b9542 < 939a08bcd4334bad4b201e60bd0ae1f278d71d41 ; affected 39299bdd2546688d92ed9db4948f6219ca1b9542 < cc219cb8afbc40ec100c0de941047bb29373126a |
| Linux · Linux | affected 6.7 ; unaffected 0 < 6.7 ; unaffected 5.10.217 ≤ 5.10.* ; unaffected 5.15.159 ≤ 5.15.* ; unaffected 6.1.91 ≤ 6.1.* ; unaffected 6.6.31 ≤ 6.6.* |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |