Linux в небезпеці: невиправлені вразливості ядра злили у відкритий доступ

Оприлюднені звіти містять відомості про кілька дефектів безпеки, два з яких отримали критичну оцінку 9,0 за шкалою CVSS. Вони пов'язані з протоколом SMB Direct та вбудованим сервером KSMBD. Обидві проблеми створюють загрозу віддаленого виконання стороннього коду на серверах під управлінням Linux.

Додатково витік розкрив вразливості, що дозволяють локальне підвищення прав через мережевий стек і графічний драйвер VMware, а також витік даних через код пристроїв NVMe. Незважаючи на те, що частина виправлень перебуває на стадії тестування, вони досі не інтегровані до основної гілки релізів операційної системи.

Подія сталася на тлі низки інших масштабних збоїв у сфері цифрової безпеки. Зокрема, компрометація приватних ключів восьми проміжних TLS/SSL-сертифікатів сервісу eMudhra створила загрозу перехоплення шифрованого трафіку, а розробники PHP одночасно були змушені випустити екстрені оновлення для двох дірок безпеки з рейтингом CVSS 9,2.

Невчасна публікація технічних деталей без готових патчів викликала критику з боку розробників відкритого ПЗ. Зокрема, координатор проєкту Ґреґ Кроа-Гартман поставив під сумнів обґрунтованість оприлюднення таких відомостей до моменту розгортання захисних оновлень у стабільних версіях.

Що це означає: Корпоративному сектору та операторам серверної інфраструктури доведеться посилити мережеву фільтрацію для портів SMB та підготувати ресурси до позапланових технічних робіт, оскільки затримка з оновленням загрожує прямими фінансовими збитками та компрометацією конфіденційних даних клієнтів.