CVE-2024-44947
fuse: Inicializar el contenido de las páginas más allá del EOF antes de establecer uptodate
- Publicado
- 2 sept 2024
- Actualizado
- 11 may 2026
- Asignación de CNA
- Linux
- Evidencia observada
- 7 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 58,5 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fuse: inicializar el contenido de la página más allá del EOF antes de configurar uptodate fuse_notify_store(), a diferencia de fuse_do_readpage(), no habilita la puesta a cero de la página (porque se puede usar para cambiar el contenido parcial de la página). Por lo tanto, fuse_notify_store() debe ser más cuidadoso para inicializar por completo el contenido de la página (incluidas las partes de la página que están más allá del fin del archivo) antes de marcar la página como actualizada. El código actual puede dejar el contenido de la página más allá del EOF sin inicializar, lo que hace que este contenido de página no inicializado sea visible para el espacio de usuario a través de mmap(). Esta es una fuga de información, pero solo afecta a los sistemas que no habilitan init-on-alloc (a través de CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y o el parámetro de línea de comandos del kernel correspondiente).
Fuentes
Exploit de prueba de concepto para la fuga de información FUSE del kernel de Linux (CVE-2024-44947), demostrando divulgación de memoria más allá de EOF mediante mmap e incluyendo análisis de volcado de memoria.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.