Эксплойт для дыры в ядре Linux угрожает пользователям Ubuntu 22.04

Эксплойт для дыры в ядре Linux угрожает пользователям Ubuntu 22.04

Эксплойт для дыры в ядре Linux угрожает пользователям Ubuntu 22.04

Специалисты рассказали о серьёзной уязвимости в ядре Linux, затрагивающей пользователей Ubuntu 22.04. Брешь получила идентификатор CVE-2025-0927 и затрагивает имплементацию файловой системы HFS+.

Баг может позволить злоумышленнику повысить локальные права на уязвимых устройствах.

Проблема присутствует в драйвере HFS+ (функция hfs_bnode_read_key в файле fs/hfsplus/bnode.c). Как всегда виной стала недостаточная валидация: при чтении данных не проверяется граница длины ключа, что и приводит к переполнению буфера.

Как пишут в отчёте эксперты уязвимость присутствует с момента появления репозитория ядра Linux в 2005 году — начиная с версии Linux-2.6.12-rc2 — и затрагивает все версии вплоть до 6.12.0, включая Ubuntu 22.04 с ядром 6.5.0-18-generic.

Для эксплуатации атакующему необходимо смонтировать специально созданную файловую систему. Хотя ранее монтирование было доступно только процессам с правами CAP_SYS_ADMIN, развитие механизма пространств имён (namespaces) привело к смягчению этих ограничений.

Особенно это актуально для Ubuntu: по умолчанию как десктопная, так и серверная версии позволяют пользователям с локальной сессией создавать loop-устройства и монтировать блочные файловые системы, обходя тем самым ограничения ядра.

Исследователь в области кибербезопасности уже опубликовал демонстрационный эксплойт для CVE-2025-0927.

По шкале CVSS уязвимость получила 7.8 балла, то есть является проблемой высокой степени риска. Компания Canonical уже выпустила патч, поэтому пользователям настоятельно рекомендуется как можно скорее установить его.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Бывший руководитель ОМВД получил 6,5 лет за черный пробив

Бывший начальник ОМВД по Басманному району Москвы Сергей Андреев приговорён к 6 годам и 7 месяцам лишения свободы за превышение должностных полномочий, а также за незаконное получение и разглашение сведений, составляющих налоговую и банковскую тайну.

Приговор подтвердили в пресс-службе Измайловского районного суда Москвы, сообщает «Лента.ру». Помимо реального срока заключения, Андреев был также лишён звания подполковника полиции.

Андреев был арестован в августе 2023 года. На тот момент он уже более двух лет занимал должность руководителя ОМВД Басманного района столицы.

Изначально ему вменялось, по одним данным, незаконное возбуждение уголовных дел, по другим — мошенничество. Однако в ходе следствия удалось доказать, что Андреев, используя своё служебное положение, незаконно получил сведения о банковских счетах и движении денежных средств одного из граждан и передавал эти данные третьим лицам. Всё время следствия он находился под стражей.

Услуги по «пробиву» информации относятся к числу самых востребованных на теневом рынке и занимают примерно 6,5 % от общего оборота подобных услуг. В 2024 году объём этого рынка составил 15 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru