Der Floppy-Disk-Treiber wurde im Linux-Kernel ohne Unterstützung belassen.

Im Kernel von Linux 5.3 angenommen werden Änderungen mit zusätzlichem Schutz für ioctl-Aufrufe, die mit dem Floppy-Treiber zusammenhängen, eingeführt, und der Treiber selbst ist als ohne Unterstützung gekennzeichnet
(„orphaned“), was bedeutet, dass seine Tests eingestellt wurden.

Der Treiber wird als veraltet betrachtet, da es schwierig ist, funktionierende Hardware für seine Tests zu finden – alle aktuellen externen Speichergeräte verwenden normalerweise den USB-Anschluss. Das Entfernen des Treibers aus dem Kernel wird dadurch erschwert, dass Floppy-Disk-Controller weiterhin in Virtualisierungssystemen emuliert werden. Daher bleibt der Treiber vorerst im Kernel, aber seine korrekte Funktionsweise ist nicht garantiert.

Darüber hinaus wurde im Floppy-Treiber behoben eine Schwachstelle (CVE-2019-14283), die es einem unprivilegierten Benutzer, der die Möglichkeit hat, seine eigene Floppy-Disk einzufügen, ermöglicht, Daten aus Speicherbereichen außerhalb der Grenzen des Kopierpuffers zu lesen (zum Beispiel können in angrenzenden Bereichen Restdaten aus dem Festplattencache und dem Eingabepuffer vorhanden sein). Einerseits bleibt die Schwachstelle relevant, da der Floppy-Treiber automatisch geladen wird, wenn ein entsprechender emulierter Controller in Virtualisierungssystemen vorhanden ist (zum Beispiel wird er standardmäßig in QEMU verwendet), andererseits muss für die Ausnutzung des Problems ein vom Angreifer vorbereitets Floppy-Disk-Abbild angeschlossen sein.

Quelle: opennet.ru