Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 跟踪使 trace_event_file 包含引用计数器以下内容可造成内核崩溃# cd /sys/kernel/tracing # echo 'p:sched schedule' > kprobe_events # exec 5>>events/kprobes/sched/enable # > kprobe_events # exec 5>&- 上述命令1. 将目录更改为 tracefs 目录 2. 创建 kprobe 事件无关哪一个 3. 在 kprobe 事件的启用文件上打开 bash 文件描述符 5 4. 删除 kprobe 事件事件 也删除文件5. 关闭 bash 文件描述符 5上述原因导致崩溃缺陷内核空指针取消引用地址0000000000000028 #PF内核模式下存在主管读取访问权限 #PFerror_code(0x0000) - 不存在页面 PGD 0 P4D 0 Oops0000 [#1] PREEMPT SMP PTI CPU: 6 PID 877 Commbash未受感染 6.5.0-rc4-test-00008-g2c6b6b1029d4-dirty #186 硬件名称
    QEMU Standard PCQ35 + ICH92009, BIOS 1.16.2-debian-1.16.2-1 04/01/2014 RIP
    0010tracing_release_file_tr+0xc/0x50 此处发生的问题是 kprobe 事件创建了一个 trace_event_file 文件描述符该描述符代表 tracefs 中针对事件的文件。它维护事件的状态（是否为给定的实例启用？）。打开启用文件会通过打开文件描述符获取对事件文件描述符的引用。删除 kprobe 事件时将从 tracefs 系统中删除该文件这还会释放事件文件描述符。但由于 tracefs 文件仍由用户空间打开因此直到最后调用 dput() 才会将其完全删除。但对于已释放的事件文件描述符则不适用。如果用户对该文件描述符进行写入或只是关闭该描述符将引用刚刚释放的事件文件描述符造成释放后使用缺陷。要解决此问题可为事件文件描述符添加 ref 计数以及名为 FREED 的新标记。在释放最后一个引用之前文件不会被释放。但是在删除事件时将设置 FREE 标记以防止发生对该事件的任何更多修改即使仍然存在对事件文件描述符的引用。 (CVE-2023-52879)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2023-52879

medium Nessus 插件 ID 226897

版本 1.15