Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ima处理由 ima_filter_rule_match() 返回的错误代码在 ima_match_rules() 中如果 ima_filter_rule_match() 由于规则为空而返回 -ENOENT则该函数会错误地跳过“if (!rc)”检查并设置“result = true” 。LSM 规则被视为匹配项从而导致 IMA 测量额外的文件。在以下情况可能会重现此问题在通过“semodule -d”卸载 SELinux 策略模块后如果在更新 ima_lsm_rules 之前触发 IMA 测量在 ima_match_rules() 中对 ima_filter_rule_match() 的首次调用将返回 -ESTALE。这会导致代码进入“if (rc == -ESTALE && !rule_reinitialized)”区块执行 ima_lsm_copy_rule() 并重试。在 ima_lsm_copy_rule() 中由于 SELinux 模块已删除因此规则变为 NULL并且对 ima_filter_rule_match() 的第二次调用将返回 -ENOENT。这会绕过“if (!rc)”检查并导致假匹配。Call trace: selinux_audit_rule_match+0x310/0x3b8 security_audit_rule_match+0x60/0xa0 ima_match_rules+0x2e4/0x4a0 ima_match_policy+0x9c/0x1e8 ima_get_action+0x48/0x60 process_measurement+0xf8/0xa98 ima_bprm_check+0x98/0xd8 security_bprm_check+0x5c/0x78 search_binary_handler+0x6c/0x318 exec_binprm+ 0x58/0x1b8 bprm_execve+0xb8/0x130 do_execveat_common.isra.0+0x1a8/0x258 __arm64_sys_execve+0x48/0x68 invoke_syscall+0x50/0x128 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x44/0x200 el0t_64_sync_handler+0x100/ 0x130 el0t_64_sync+0x3c8/0x3d0 通过将“if (!rc)”更改为“if (rc <= 0)”来修复此问题以确保 -ENOENT 等错误代码不会绕过检查并意外导致匹配成功。 (CVE-2025-68740)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-68740

medium Nessus 插件 ID 279821

版本 1.34