CVE-2024-47742

Versões do kernel Linux anteriores à 6.6.58

O problema está relacionado ao carregador de firmware no kernel Linux, onde certos caminhos de código constroem nomes de arquivos de firmware a partir de componentes de string passados por dispositivos ou pelo espaço do usuário semiprivilejado. Isso poderia potencialmente permitir ataques de traversal de caminho. Os caminhos de código afetados incluem lpfc sli4 request firmware update(), nfp net fw find() e module flash fw schedule(). A vulnerabilidade é corrigida rejeitando quaisquer nomes de firmware que contenham componentes de caminho “..”.

Para versões do kernel Linux anteriores à 6.6.58, atualize para a versão 6.6.58 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos caminhos de código vulneráveis, como lpfc sli4 request firmware update(), nfp net fw find() e module flash fw schedule(), até que um patch esteja disponível. Além disso, evite usar o comando netlink ETHTOOL MSG MODULE FW FLASH ACT com nomes de firmware fornecidos pelo espaço do usuário até que o problema seja resolvido.