CVE-2025-38286
pinctrl: at91: Fix possible out-of-boundary access
HIGH 7.1
En bref
- Source
- NVD
- EPSS
- EPSS 0.21 % · centile 12 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- Linux
- Statut NVD
- Analyzed
Description
In the Linux kernel, the following vulnerability has been resolved: pinctrl: at91: Fix possible out-of-boundary access at91_gpio_probe() doesn't check that given OF alias is not available or something went wrong when trying to get it. This might have consequences when accessing gpio_chips array with that value as an index. Note, that BUG() can be compiled out and hence won't actually perform the required checks.
Faiblesses (CWE)
- CWE-125 — Lecture hors limites
Références
- https://git.kernel.org/stable/c/264a5cf0c422e65c94447a1ebebfac7c92690670
- https://git.kernel.org/stable/c/db5665cbfd766db7d8cd0e5fd6e3c0b412916774
- https://git.kernel.org/stable/c/2ecafe59668d2506a68459a9d169ebe41a147a41
- https://git.kernel.org/stable/c/f1c1fdc41fbf7e308ced9c86f3f66345a3f6f478
- https://git.kernel.org/stable/c/eb435bc4c74acbb286cec773deac13d117d3ef39
- https://git.kernel.org/stable/c/e02e12d6a7ab76c83849a4122785650dc7edef65
- https://git.kernel.org/stable/c/288c39286f759314ee8fb3a80a858179b4f306da
- https://git.kernel.org/stable/c/762ef7d1e6eefad9896560bfcb9bcf7f1b6df9c1
- https://lists.debian.org/debian-lts-announce/2025/10/msg00008.html
- https://lists.debian.org/debian-lts-announce/2025/10/msg00007.html
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.1 | CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H | NVD · nvd@nist.gov (Primary) |
Références européennes
- ENISA EUVD · EUVD-2025-20962
- GCVE · GCVE-0-2025-38286
Avis du CERT-FR
- CERTFR-2026-AVI-0246 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0227 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0218 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0194 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0169 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1073 — Multiples vulnérabilités dans le noyau Linux de SUSE · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1054 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0894 — Multiples vulnérabilités dans le noyau Linux de Debian LTS · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0859 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0843 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0828 — Multiples vulnérabilités dans le noyau Linux d'Ubuntu · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0759 — Multiples vulnérabilités dans le noyau Linux de SUSE · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0745 — Multiples vulnérabilités dans le noyau Linux de SUSE · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0723 — Multiples vulnérabilités dans le noyau Linux de SUSE · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0698 — Multiples vulnérabilités dans le noyau Linux de Debian · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 3.8 < 5.4.295cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 5.5 < 5.10.239cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 5.11 < 5.15.186cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 5.16 < 6.1.142cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.2 < 6.6.94cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.7 < 6.12.34cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*≥ 6.13 < 6.15.3cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
Produits affectés
| Produit | Versions |
|---|---|
| Linux · Linux | affected 6732ae5cb47c4f9a72727585956f2a5e069d1637 < 264a5cf0c422e65c94447a1ebebfac7c92690670 ; affected 6732ae5cb47c4f9a72727585956f2a5e069d1637 < db5665cbfd766db7d8cd0e5fd6e3c0b412916774 ; affected 6732ae5cb47c4f9a72727585956f2a5e069d1637 < 2ecafe59668d2506a68459a9d169ebe41a147a41 ; affected 6732ae5cb47c4f9a72727585956f2a5e069d1637 < f1c1fdc41fbf7e308ced9c86f3f66345a3f6f478 ; affected 6732ae5cb47c4f9a72727585956f2a5e069d1637 < eb435bc4c74acbb286cec773deac13d117d3ef39 ; affected 6732ae5cb47c4f9a72727585956f2a5e069d1637 < e02e12d6a7ab76c83849a4122785650dc7edef65 |
| Linux · Linux | affected 3.8 ; unaffected 0 < 3.8 ; unaffected 5.4.295 ≤ 5.4.* ; unaffected 5.10.239 ≤ 5.10.* ; unaffected 5.15.186 ≤ 5.15.* ; unaffected 6.1.142 ≤ 6.1.* |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |