Сгенерил отчёт по мартовскому Lin­ux Patch Wednes­day. 134 уязвимости, из них 68 в ядре. С признаком эксплуатации вживую уязвимостей нет. Есть 15 уязвимостей с PoC-ами (все кроме одной это ссылки из NVD).

🔸 В топе Com­mand Injec­tion — libuv (CVE-2024–24806). Это мультиплатформенная библиотека для асинхронного ввода-вывода. Злоумышленник может потенциально получить доступ к внутренним API.

🔸 Для aio­http пачка Com­mand Injec­tion (CVE-2023–37276, CVE-2023–47627, CVE-2023–49082) и Secu­ri­ty Fea­ture Bypass (CVE-2023–47641, CVE-2023–49081) с PoC-ами. Это асинхронный HTTP-фреймворк (клиент/сервер). Уязвимости запатчены только в российской RedOS (18 марта) и Debian (непонятно когда).

🔸Многовато проблем с детектами типа уязвимости и продукта, т.к. из-за кризиса NVD для части уязвимостей нет CPE и CWE. 🤷‍♂️

🔸 Команда Lin­ux Ker­nel теперь CNA и заводят массу CVEшек с чудовищно большими дескрипшенами. Потому что могут! 😏

🗒 Мартовский Lin­ux Patch Wednes­day