CVE-2024-50302
Linux Kernel Use of Uninitialized Resource Vulnerability
Beschreibung
CVE-2024-50302 ist eine Informationsoffenlegungsschwachstelle im Linux-Kernel, die durch einen nicht initialisierten Report-Puffer im HID-Subsystem (Human Interface Device) verursacht wird. Da der Report-Puffer bei der Speicherzuweisung nicht mit Nullen initialisiert wird, kann ein Angreifer ueber speziell praeparierte HID-Reports Kernel-Speicherinhalte auslesen. Die Schwachstelle wird mit einem CVSS v3.1-Score von 5.5 (MEDIUM) bewertet.
Die CISA hat CVE-2024-50302 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Der EPSS-Score von 1.32 % (79.6. Perzentil) zeigt eine moderate Ausnutzungswahrscheinlichkeit. Die Schwachstelle betrifft Linux-Kernel-Versionen von 3.12 bis 6.12 und ist auch auf Android-Geraeten relevant.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| android | - | |
| debian | debian linux | 11.0 |
| siemens | simatic s7-1500 tm mfp firmware | - |
| siemens | sinec os | < 3.2 |
| linux | linux kernel | >= 3.12, < 4.19.324; >= 4.20, < 5.4.286; >= 5.5, < 5.10.230; >= 5.11, < 5.15.172; >= 5.16, < 6.1.117; >= 6.2, < 6.6.61; >= 6.7, < 6.11.8; 6.12 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://git.kernel.org/stable/c/05ade5d4337867929e7ef664e7ac8e0c734f1aaf(Patch)
- https://git.kernel.org/stable/c/177f25d1292c7e16e1199b39c85480f7f8815552(Patch)
- https://git.kernel.org/stable/c/1884ab3d22536a5c14b17c78c2ce76d1734e8b0b(Patch)
- https://git.kernel.org/stable/c/3f9e88f2672c4635960570ee9741778d4135ecf5(Patch)
- https://git.kernel.org/stable/c/492015e6249fbcd42138b49de3c588d826dd9648(Patch)
- https://git.kernel.org/stable/c/9d9f5c75c0c7f31766ec27d90f7a6ac673193191(Patch)
- https://git.kernel.org/stable/c/d7dc68d82ab3fcfc3f65322465da3d7031d4ab46(Patch)
- https://git.kernel.org/stable/c/e7ea60184e1e88a3c9e437b3265cbb6439aa7e26(Patch)
- https://lists.debian.org/debian-lts-announce/2025/01/msg00001.html(Mailing List)
- https://lists.debian.org/debian-lts-announce/2025/03/msg00002.html(Mailing List)
- https://cert-portal.siemens.com/productcert/html/ssa-265688.html(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/html/ssa-355557.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-50302(US Government Resource)
Schwachstellentyp
Unbekannter Schwachstellentyp
Fuer CVE-2024-50302 wurde bisher keine offizielle CWE-Klassifikation veroeffentlicht. Basierend auf der technischen Beschreibung handelt es sich um eine Verwendung nicht initialisierten Speichers (funktional vergleichbar mit CWE-908). Bei dieser Schwachstellenklasse wird eine Variable oder ein Speicherpuffer verwendet, ohne zuvor auf einen definierten Wert gesetzt worden zu sein. Dadurch koennen Restdaten aus frueheren Speicheroperationen unbeabsichtigt offengelegt werden.
Im Fall des Linux-Kernel-HID-Subsystems wird der Report-Puffer bei der Allokation nicht nullinitialisiert. Da dieser Puffer von verschiedenen HID-Treibern auf unterschiedliche Weise genutzt wird, kann ein speziell praeparierter Report dazu fuehren, dass nicht initialisierte Kernel-Speicherbereiche an den Benutzerraum weitergegeben werden.
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-50302 konzentrieren sich auf die Offenlegung von Kernel-Speicherinhalten. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N zeigt eine klar begrenzte, aber dennoch signifikante Bedrohung. Vertraulichkeit (Hoch): Durch den nicht initialisierten Puffer koennen sensible Kernel-Speicherinhalte ausgelesen werden. Dies umfasst potenziell kryptografische Schluessel, Kernel-Adressen (zur Umgehung von KASLR), Zugangsdaten und andere vertrauliche Informationen aus dem Kernel-Speicher. Integritaet und Verfuegbarkeit: Beide Metriken sind nicht betroffen (I:N/A:N), da die Schwachstelle ausschliesslich zum Lesen und nicht zum Schreiben oder Stoeren von Daten ausgenutzt werden kann.
Die Anforderung lokaler Zugriff (AV:L) mit niedrigen Berechtigungen (PR:L) begrenzt die Angriffsflaeche auf Szenarien, in denen ein Angreifer bereits lokalen Zugang zum System hat. Auf Android-Geraeten kann dies jedoch durch physischen Zugriff auf die USB-Schnittstelle erreicht werden. Der EPSS-Score von 1.32 % (79.6. Perzentil) und der Ransomware-Status Unknown deuten auf eine moderate, aber reale Bedrohungslage hin.
Exploit-Reifegrad
CVE-2024-50302 weist eine moderate Exploit-Reife auf. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 25. Maerz 2025. Der EPSS-Score von 1.32 % (79.6. Perzentil) zeigt eine moderate Ausnutzungswahrscheinlichkeit.
Mehrere Patches wurden fuer verschiedene Kernel-Versionen bereitgestellt und sind oeffentlich ueber das Linux-Kernel-Git-Repository verfuegbar (z.B. Patch fuer stable). Die Schwachstelle wurde auch fuer Debian Linux 11.0 adressiert, wie aus den Mailing-Listen-Eintraegen hervorgeht. Die breite Kernel-Versionsabdeckung (3.12 bis 6.12) und die Relevanz fuer Android-Geraete erhoehen die potenzielle Angriffsflaeche erheblich. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Kernel-Update durchfuehren: Aktualisieren Sie den Linux-Kernel auf eine gepatchte Version: 4.19.324+, 5.4.286+, 5.10.230+, 5.15.172+, 6.1.117+, 6.6.61+, 6.11.8+ oder 6.12.1+. Die Patches sind ueber das offizielle Linux-Kernel-Git-Repository verfuegbar und beheben die fehlende Nullinitialisierung des HID-Report-Puffers.
-
Android-Geraete aktualisieren: Fuer Android-Geraete installieren Sie das neueste Sicherheitsupdate des Herstellers, das den Fix fuer CVE-2024-50302 enthaelt. Ueberpruefen Sie die Android Security Bulletins auf die Verfuegbarkeit des Patches fuer Ihr spezifisches Geraet.
-
Debian-Systeme patchen: Fuer Debian Linux 11.0 wenden Sie die aktualisierten Kernel-Pakete an, die in den Debian-Sicherheitshinweisen referenziert werden. Fuehren Sie ein vollstaendiges System-Update mit apt update und apt upgrade durch.
-
Physischen USB-Zugriff einschraenken: Da die Schwachstelle ueber speziell praeparierte HID-Geraete ausgenutzt werden kann, beschraenken Sie den physischen Zugriff auf USB-Ports an kritischen Systemen. Implementieren Sie USB-Geraete-Whitelisting oder USBGuard, um nicht autorisierte HID-Geraete zu blockieren.
-
Kernel-Haertung ueberpruefen: Stellen Sie sicher, dass KASLR, SMEP und SMAP aktiviert sind, um die Ausnutzbarkeit der offengelegten Kernel-Informationen zu erschweren. Ueberpruefen Sie die Kernel-Konfiguration mit sysctl-Einstellungen und aktivieren Sie zusaetzliche Schutzoptionen wie CONFIG_INIT_STACK_ALL.
Technische Details
CVE-2024-50302 betrifft das HID-Core-Modul im Linux-Kernel. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N zeigt einen lokalen Angriff (AV:L) mit niedriger Komplexitaet (AC:L), der niedrige Berechtigungen (PR:L) erfordert und keine Benutzerinteraktion (UI:N) benoetigt.
Die Schwachstelle liegt in der Speicherverwaltung des HID-Report-Puffers. Bei der Allokation des Puffers wird keine Nullinitialisierung durchgefuehrt (fehlender Aufruf von kzalloc statt kmalloc oder fehlendes memset). Da der Report-Puffer von zahlreichen HID-Treibern fuer verschiedene Geraetetypen (Tastaturen, Maeuse, Gamepads, Spezialgeraete) verwendet wird, kann ein speziell praeparierter HID-Report den Puffer so manipulieren, dass nicht initialisierte Speicherbereiche an den Benutzerraum zurueckgegeben werden.
Der Fix besteht in der Nullinitialisierung des Puffers waehrend der Allokation, wodurch sichergestellt wird, dass keine Restdaten aus vorherigen Kernel-Operationen ueber den HID-Mechanismus offengelegt werden koennen. Betroffen sind Linux-Kernel-Versionen von 3.12 bis einschliesslich 6.12, wobei Patches fuer alle aktiv gewarteten Stable-Zweige bereitgestellt wurden. Der unveraenderte Scope (S:U) bedeutet, dass die Auswirkungen auf den Kontext des HID-Subsystems beschraenkt bleiben.
Häufig gestellte Fragen
Wird CVE-2024-50302 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-50302 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestaetigt. Die Behebungsfrist ist auf den 25. Maerz 2025 festgelegt. Der EPSS-Score von 1.32 % zeigt eine moderate, aber reale Ausnutzungswahrscheinlichkeit.
Welche Linux-Kernel-Versionen sind betroffen?
Betroffen sind Linux-Kernel-Versionen von 3.12 bis 6.12. Die Patches sind verfuegbar fuer die Stable-Zweige 4.19.324+, 5.4.286+, 5.10.230+, 5.15.172+, 6.1.117+, 6.6.61+, 6.11.8+ und 6.12.1+. Auch Android-Geraete und Debian Linux 11.0 sind betroffen und erhalten separate Sicherheitsupdates.
Welche Daten koennen durch CVE-2024-50302 offengelegt werden?
Durch den nicht initialisierten HID-Report-Puffer koennen Kernel-Speicherinhalte ausgelesen werden. Dies kann Kernel-Adressen (zur Umgehung von KASLR), kryptografische Schluessel, Zugangsdaten und andere vertrauliche Informationen aus dem Kernel-Speicher umfassen. Die offengelegten Daten koennen als Grundlage fuer weitergehende Angriffe dienen.
Wie kann ich pruefen, ob mein System betroffen ist?
Ueberpruefen Sie Ihre Kernel-Version mit dem Befehl uname -r. Wenn Ihre Version in den betroffenen Bereich faellt (3.12 bis 6.12 ohne den jeweiligen Patch), ist Ihr System verwundbar. Fuer Android-Geraete pruefen Sie das Sicherheitspatch-Level in den Geraeteeinstellungen unter System > Ueber das Telefon > Android-Sicherheitspatch-Ebene.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.