CVE-2024-40983

CVE-2024-40983 betrifft eine Schwachstelle im Linux-Kernel, genauer im TIPC-Subsystem, die bei der Entschlüsselung von Daten auftritt. Das Problem liegt in einem fehlenden erzwungenen Referenzzähler auf den Destination-Entry des Socket-Buffers (skb), bevor die Entschlüsselung asynchron abgeschlossen wird. Dies kann zu einem Systemabsturz führen, wie durch eine ausgelöste Warnung im Kernel-Log belegt. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf eine hohe potenzielle Auswirkung hindeutet. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt jedoch bei niedrigen 1%, und die Schwachstelle ist derzeit nicht im CISA KEV-Katalog der aktiv ausgenutzten Schwachstellen gelistet. Trotz des kritischen CVSS-Scores deutet die niedrige EPSS-Rate darauf hin, dass eine aktive Ausnutzung derzeit unwahrscheinlich ist. Security-Teams sollten dennoch die Verfügbarkeit von Patches für ihre spezifischen Linux-Distributionen prüfen und diese zeitnah einspielen, um das Risiko eines Systemabsturzes zu minimieren. Eine Priorisierung sollte auf Basis der Systemkritikalität und der Verfügbarkeit von Updates erfolgen.