Користувачі операційних систем на базі Linux зіткнулися з ризиками через випадковий витік не залатаних вразливостей ядра. Інформація про проблеми безпеки через помилку потрапила до публічного списку розсилки замість приватного, що дозволило зловмисникам побачити потенційні вектори атак.
Про інцидент стало відомо після того, як кілька нових звітів опублікували на відкритому майданчику. Повідомлення надійшли від ініціативи Zero Day Initiative компанії Trend Micro, яка співпрацює з незалежними дослідниками для виявлення слабких місць у ПЗ. Розробник стабильного ядра Linux Грег Кроа-Хартман одразу відреагував на ситуацію, звернувшись до авторів з вимогою переглянути процес надсилання подібних звітів.
Основна проблема полягає в тому, що більшість виявлених вразливостей досі не отримали патчів у головній гілці ядра і залишаються відкритими для потенційних атак. Серед опублікованих проблем дослідники виділяють кілька найсерйозніших. Зокрема, ідеться про вразливість віддаленого виконання коду в SMB Direct через зменшення цілого числа, яку оцінили у 9.0 балів за шкалою CVSS. Аналогічну критичну оцінку отримала умова гонки в KSMBD, що також загрожує віддаленим виконанням коду.
Окрім цього, у списку опинилися проблеми з локальним підвищенням привілеїв у мережевому коді skbuff та драйвері графіки VMWGFX від VMware. Також зафіксовано неініціалізований ресурс у коді NVMET, що може призвести до витоку інформації, та переповнення буфера в стеку TCP-запитів. Частина цих проблем уже має напрацьовані патчі або тестується в розробницьких гілках.
Розробники радять користувачам, які прагнуть максимальної безпеки, звернути увагу на бета-гілки своїх дистрибутивів. У таких збірках виправлення можуть з’явитися швидше, ніж у масових релізах, оскільки робота над залатанням критичних ділянок зараз прискорюється.
Джерела: pcgamer.com
