Информация о неустраненных уязвимостях ядра Linux по ошибке оказалась в открытом доступе. Данные о них были разосланы по электронной почте на неправильный адрес. Эти уязвимости еще не закрыты, что существенно повышает риск успешного взлома Linux-систем, в том числе тех, которые работают на совсем старых версиях ядра.

Знают двое – знают все

В открытом доступе появилась информация о множестве уязвимостей в ядре Linux, требующих устранения. Как пишет портал Neowin, утечку спровоцировали сами разработчики – участники международной программы Zero Day Initiative (ZDI) направленной на поиск и устранение «дыр» в программном обеспечении. Инициатива принадлежит ИБ-компании Trend Micro.

Они допустили оплошность, от которой не застрахован никто – список уязвимостей должен был быть отправлен по электронный почте на специальный защищенный адрес, но вместо этого его встроили в в публичную рассылку LKML (Linux Kernel Mailing List). Таким образом, данные об уязвимостях моментально стали достоянием общественности, в том числе, вероятно, и киберпреступников.

Эта утечка моментально разозлила руководство сообщества Linux. Заместитель Линуса Торвальдса (Linus Torvalds) Грег Кроа-Хартман (Gregk Kroah-Hartman) был в ярости. Он потребовал, чтобы авторы письма потрудились исправить свои процессы отправки отчетов и впредь не рассылать отчеты о неустраненных уязвимостях на публичные адреса. Обычные участники сообщества Linux тоже не были в восторге от случившегося, пишет Neowin.

Что утекло

Утечка содержит данные как минимум о полудюжине уязвимостей, каждая из которых имеет критический уровень опасности – CVSS 9.0 и выше. Самые опасные уязвимости из этого списка найдены в модуле KSMBD (Kernel-based SMB3 Server), встроенном в ядро SMB-сервере. Среди них – ZDI-CAN-33774, и она позволяет удаленно запускать любой код на компьютере жертвы.

Следующая уязвимость, ZDI-CAN-33549, связана с возможностью удаленного выполнения кода через SMB Direct из-за переполнения целочисленного типа. Для этой уязвимости существует патч в ветке Git, предназначенной для Linux версии 7.5, но, предположительно, его внедрение в основную ветку будет ускорено.

Третья брешь – ZDI-CAN-33367, это уязвимость в сетевом коде функции skbuff skb_zerocopy, которая может привести к локальному повышению прав доступа. Четвертая получила индекс ZDI-CAN-34068, и это ошибка в графическом драйвере VMware VMWGFX, приводящая к локальному повышению прав доступа.

Оставшиеся две уязвимости – это ZDI-CAN-34076 и ZDI-CAN-32005. Рейтинг CVE пока не присвоен ни одной из них – по правилам сообщества Linux, этот идентификатор любая брешь получает только после того, как устраняющий ее патч добавляется в стабильную версию ядра.

Нарушение порядка

Как пишет портал HWBusters, появление в Сети информации о незакрытых уязвимостях, пусть и допущенное по ошибке – это полное несоответствие установленным правилам. Данные об уязвимостях в ядре Linux действительно попадают в свободный доступ, но лишь после того, как они были устранены.

Low/no-code-революция: новая архитектура цифровой независимости Конференция

На первом этапе выявивший брешь специалист готовит и отправляет отчет команде, занимающейся вопросами безопасности ядра. Они со своей стороны устраняют найденную брешь в тестовой сборке, проводят все необходимые проверки, а затем готовят патч для стабильного релиза ядра.

И лишь после того, как патч был принят, а релиз состоялся, информация об уязвимости может быть опубликована в открытом доступе. Ее уже исправили, и пользователям нужно убедиться лишь, что они работают с ядром последней версии.

Кто в зоне риска

По данным портала HWBusters, в первую очередь стоит беспокоиться не обычным пользователям, работающим в Linux на своем ПК или ноутбуке, поскольку в большинстве дистрибутивов Linux компонент KSMBD не установлен по умолчанию. К тому же рабочие станции и игровые ПК не обмениваются файлами по SMB через ядро, отмечает HWBusters.

В зоне риска находятся NAS-серверы, домашние серверы и устройства, выбравшие KSMBD из-за его скорости, и любые из них, у которых порт 445 доступен из недоверенной сети, следует рассматривать как уязвимые до тех пор, пока не будет выпущено исправленное ядро. Очевидным временным решением является выгрузка модуля или блокировка SMB через брандмауэр.

• Подобрать тариф на виртуальные рабочие места VDI на ИТ-маркетплейсе CNewsMarket