CVE-2025-38676 — Linux Kernel ≤ 6.17-rc2 (AMD IOMMU) переполнение стекового буфера

Этот репозиторий предоставляет безопасные, неэксплойтные PoC-ресурсы для изучения CVE-2025-38676:

• Инструменты сбора информации + инструменты безопасности
• Загрузочная обвязка QEMU для тестирования длинных параметров ядра
• Рекомендации по ужесточению (GRUB/UEFI/Secure Boot; базовый /proc/cmdline)

Сводка уязвимости
Исправление из апстрима: «iommu/amd: Избежать переполнения стекового буфера из kernel cmdline… избежать записи на 1 байт за конец 'acpiid', если аргумент 'str' имеет максимальную длину.»
Область: ядра ≤ 6.17-rc2 (путь IOMMU/AMD). Дистрибутивы выпускают исправленные ядра.
Источники: NVD, SUSE tracker, VulDB, ссылка на коммит.

• NVD: описание и заметка об исправлении.
• SUSE: зеркалирует текст из апстрима.
• VulDB: затронуты версии до 6.17-rc2; критично.
• Ссылка на коммит (через cvefeed.io): git.kernel.org/stable/c/8503d0fcb1086....

Этика и безопасное использование

Нет оружейного эксплойтного кода. Обвязка только изменяет длину/форму cmdline и собирает логи для подтверждения стабильности или сбоев в закрытой ВМ.

Быстрый старт

sudo apt-get install -y build-essential qemu-system-x86 gcc make cpio busybox
cd tools && ./build.sh               # build cmdline checker
cd ../scripts && ./make_initramfs.sh # build tiny initramfs with busybox
./qemu_boot_example.sh               # boot VM with safe long cmdline