CVE-2024-44947
中已发布
fuse: 在设置 uptodate 之前初始化 EOF 之后的页面内容
- 已发布
- 2024年9月2日
- 已更新
- 2026年5月11日
- 分配 CNA
- Linux
- 观察到的证据
- 2026年8月7日
初级CVSS
5.5/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N0.9%
低 · 未来 30 天
- 百分位
- 57.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
在Linux内核中，已解决以下漏洞：fuse：在设置uptodate之前初始化超出EOF的页面内容 fuse_notify_store()与fuse_do_readpage()不同，它不启用页面清零（因为它可用于更改部分页面内容）。因此，fuse_notify_store()在将页面标记为uptodate之前，必须更加小心地完全初始化页面内容（包括超出文件末尾的页面部分）。当前代码可能使超出EOF的页面内容未初始化，从而通过mmap()使这些未初始化的页面内容对用户空间可见。这是一个信息泄露，但仅影响未通过CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y或相应内核命令行参数启用init-on-alloc的系统。
来源
1Linux 内核 FUSE 信息泄露（CVE-2024-44947）的概念验证漏洞利用，演示通过 mmap 进行超出 EOF 的内存泄露，并包含内存转储分析。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。