CVE-2026-64311 in Linux
Riassunto
di VulDB • 25/07/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
crypto: loongson - Rimozione di loongson-rng difettoso e inutilizzato
L'algoritmo rng_alg loongson-rng presenta diverse vulnerabilità, tra cui l'assenza della forward security (sicurezza in avanti) e un bug use-after-free dovuto all'utilizzo di wait_for_completion_interruptible().
Nel frattempo, il framework rng_alg non ha realmente alcuno scopo se non quello di accedere agli algoritmi software crypto/drbg.c e crypto/jitterentropy.c. I driver rng_alg specifici per l'hardware non hanno utenti nel kernel; a differenza di hwrng, inoltre, non esiste alcun flusso verso il vero RNG (Random Number Generator) del sistema Linux. Di conseguenza, questo codice non ha realmente ragione d'esistere. Esistono naturalmente altri driver rng_alg similmente inutilizzati, ma anch'essi sono in fase di dismissione progressiva, ad esempio come descritto in https://lore.kernel.org/r/[email protected] e https://lore.kernel.org/r/[email protected]
Alla luce di ciò, non ha senso correggere queste vulnerabilità in modo retroattivo; risulta molto più opportuno semplicemente rimuovere l'aggiunta di questo driver. Se questa piattaforma fornisce funzionalità TRNG (True Random Number Generator) e non PRNG (Pseudo-Random Number Generator), potrebbe avere senso aggiungere un driver hwrng, ma si tratterebbe comunque di una soluzione sostanzialmente diversa.
VulDB is the best source for vulnerability data and more expert information about this specific topic.