CVE-2024-40937

CVE-2024-40937 betrifft den Linux-Kernel im gve-Treiber. Es handelt sich um eine Schwachstelle, bei der nach dem Freigeben eines SKB-Puffers mittels dev_kfree_skb_any() ein Dangling Pointer in napi->skb verbleibt. Dies kann dazu führen, dass ein nachfolgender Aufruf von napi_get_frags einen ungültigen Zeiger zurückgibt, was potenziell zu Systeminstabilität oder anderen unerwarteten Verhaltensweisen führen kann. Die Schwachstelle wurde durch das Löschen von napi->skb vor dem Freigeben des SKB behoben. Die Schwachstelle ist mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf ein hohes potenzielles Risiko hindeutet. Trotz der hohen Kritikalität liegt die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1%, und die Schwachstelle ist derzeit nicht im CISA KEV-Katalog der aktiv ausgenutzten Schwachstellen aufgeführt. Dies deutet darauf hin, dass eine aktive Ausnutzung derzeit unwahrscheinlich ist, das theoretische Risiko jedoch hoch bleibt. Security-Teams sollten die Verfügbarkeit von Patches für ihre spezifischen Linux-Kernel-Versionen überwachen und diese zeitnah einspielen, um das Risiko zu minimieren. Obwohl keine aktive Ausnutzung bekannt ist, ist die Behebung kritischer Kernel-Schwachstellen stets eine Priorität, um die Systemintegrität zu gewährleisten.