Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - x86/coco需要在 CoCo 系统上使用 RDRAND 植入 RNG 几乎所有 CoCo 的使用不依赖于有效的密码编译因而需要有效的 RNG。遗憾的是CoCo 威胁模型意味着 VM 主机不可信并且可能会主动攻击访客以提取密码或操纵计算。由于恶意主机可以修改或观察几乎所有来宾机输入所以 CoCo 来宾机唯一剩余的熵源是 RDRAND。如果 RDRAND 损坏 -- 由于 CPU 硬件错误 -- RNG 作为一个整体本应继续妥善处理从其他来源收集熵的问题但由于 CoCo 上无其他来源因此这是灾难性的。这主要是最初植入 RNG 时在启动时需要考虑的问题因为此后 RDRAND 损坏的后果就更符合理论。因此尝试在启动时使用 256 位 RDRAND 输出为 RNG 植入。如果此操作失败，则 panic()。如果系统在无 RDRAND 的情况下引导也会触发此漏洞因为 RDRAND 对于安全的 CoCo 引导至关重要。特意添加使其只是 CoCo x86 驱动程序功能而不是 RNG 本身的一部分。许多设备驱动程序和平台都希望向 RNG 贡献一些内容而 add_device_randomness() 则专门用于此目的。任何驱动程序都可以使用任何质量甚至垃圾质量的种子数据调用此函数它只可能使 RNG 的质量更好或起任何作用但永远不会使其更差。与其尝试在 RNG 的核心中构建某些内容，不如将特定 CoCo 问题视为一个 CoCo 问题，从而将其全部分离为驱动程序架构/平台代码。 [ bpMassage 提交消息。 ] (CVE-2024-35875)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2024-35875

high Nessus 插件 ID 228369

版本 1.21