CVE-2008-4302 详情

延期处理

由于资源或其他考虑因素，此CVE记录未优先安排NVD富化工作。

描述

Linux内核2.6.22.2之前版本中的splice子系统（位于fs/splice.c）未能正确处理add_to_page_cache_lru函数的失败情况，随后尝试解锁一个未锁定的页面，本地用户可利用此漏洞造成拒绝服务（内核BUG和系统崩溃），例如使用fio I/O工具进行演示。

指标

CVSS 版本 4.0

NIST: NVD
- 评估：尚未提供。

CVSS 版本 3.x

NIST: NVD
- 基础分数：5.5 中危
- 向量：CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

CVSS 版本 2.0

NIST: NVD
- 基础分数：4.9 中危
- 向量：(AV:L/AC:L/Au:N/C:N/I:N/A:C)

供应商声明（免责声明）

Red Hat官方声明 (2009年1月15日)

此问题不影响Red Hat Enterprise Linux 2.1、3、4及Red Hat Enterprise MRG随附的Linux内核版本。在Red Hat Enterprise Linux 5中已通过以下方式解决：https://rhn.redhat.com/errata/RHSA-2008-0957.html

参考信息（公告、解决方案和工具）

注意：选择这些链接，您将离开NIST网站空间。我们提供这些指向其他网站的链接，因为它们可能包含您感兴趣的信息。不应根据本页面是否引用其他网站进行推断。可能有其他网站更适合您的目的。NIST不一定认可这些网站表达的观点，也不一定认同这些网站陈述的事实。此外，NIST不认可这些网站上可能提及的任何商业产品。请将有关此页面的评论发送至 nvd@nist.gov。

URL	来源	标签
http://git.kernel.org/?p=linux/kernel/git/stable/linux-2.6.26.y.git%3Ba=commit%3Bh=6a860c979b35469e4d77da781a96bdb2ca05ae64	CVE, MITRE	失效链接
http://kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.22.2	CVE, MITRE	失效链接
http://lists.opensuse.org/opensuse-security-announce/2008-11/msg00001.html	CVE, MITRE	邮件列表，第三方公告
http://lkml.org/lkml/2007/7/20/168	CVE, MITRE	漏洞利用，邮件列表，第三方公告
http://secunia.com/advisories/32237	CVE, MITRE	失效链接
http://secunia.com/advisories/32485	CVE, MITRE	失效链接
http://secunia.com/advisories/32759	CVE, MITRE	失效链接
http://www.debian.org/security/2008/dsa-1653	CVE, MITRE	第三方公告
http://www.juniper.net/security/auto/vulnerabilities/vuln31201.html	CVE, MITRE	失效链接
http://www.openwall.com/lists/oss-security/2008/09/16/10	CVE, MITRE	邮件列表，第三方公告
http://www.redhat.com/support/errata/RHSA-2008-0957.html	CVE, MITRE	失效链接
http://www.securityfocus.com/bid/31201	CVE, MITRE	失效链接，第三方公告，VDB条目
https://bugzilla.redhat.com/show_bug.cgi?id=462434	CVE, MITRE	问题跟踪，补丁，第三方公告
https://exchange.xforce.ibmcloud.com/vulnerabilities/45191	CVE, MITRE	第三方公告，VDB条目
https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A10547	CVE, MITRE	失效链接

弱点枚举

CWE-ID	CWE 名称	来源
CWE-667	不当加锁	NIST

已知受影响软件配置

切换到 CPE 2.2

配置 1

cpe:2.3:o:linux:linux_kernel:::::::: 版本至（不包括）2.6.22.2

配置 2

cpe:2.3:o:debian:debian_linux:4.0:::::::*
cpe:2.3:o:redhat:enterprise_linux:5.0:::::::*

标识为易受攻击的软件 我们是否遗漏了CPE？请告诉我们。

变更历史

找到 8 条变更记录

CVE 于 2024年11月20日 19:51:20 修改

操作：添加了多个参考链接。

MITRE 于 2024年5月13日 21:57:06 修改

（无具体变更详情）

NIST 于 2024年2月15日 15:24:38 修改分析

添加了CVSS v3.1向量。
添加了CWE-667，移除了CWE-755。
更新了CPE配置。
更新了多个参考链接的类型。

MITRE 于 2023年11月6日 21:02:45 修改

添加并移除了一条参考链接。

NIST 于 2023年11月3日 10:31:39 修改分析

添加了CWE-755，移除了CWE-399。
添加了新的CPE配置。
更新了多个参考链接的类型。

MITRE 于 2017年9月28日 21:32:05 修改

更新了一条OVAL参考链接。

MITRE 于 2017年8月7日 21:32:32 修改

更新了一条IBM X-Force Exchange参考链接。

初始CVE分析 2008年9月30日 09:50:00

快速信息

CVE字典条目：CVE-2008-4302
NVD发布日期：2008年9月29日
最后修改日期：2025年4月8日
来源：MITRE

深入解析CVE-2008-4302：Linux内核splice子系统漏洞与拒绝服务攻击

本文详细分析了CVE-2008-4302漏洞，该漏洞存在于Linux内核2.6.22.2之前的splice子系统中，由于add_to_page_cache_lru函数失败后错误地尝试解锁未锁定的页面，本地攻击者可导致内核崩溃和系统拒绝服务。