Аннотация:
Недавно в сообществе разработчиков ядра Linux произошел инцидент, вызвавший широкую обеспокоенность. Множество неисправленных отчетов об уязвимостях ядра Linux, которые исследователи безопасности должны были отправить по частным каналам, были отправлены в общедоступный список рассылки ядра Linux (LKML) из-за операционных ошибок, что привело к раннему раскрытию соответствующей информации об уязвимостях.
Когда произошел инцидент, стабильная версия Linux 7.3 только что была выпущена, а версия Linux 7.4 все еще находилась на стадии разработки функций. Эта утечка не имеет ничего общего с предыдущим инцидентом с уязвимостью PHP, который заставил большое количество администраторов веб-сайтов срочно обновиться, но она также вызвала настоящий шок в сообществе безопасности с открытым исходным кодом.
Согласно сообщениям, инициатива Zero Day Initiative (ZDI) компании Trend Micro представила несколько отчетов, касающихся недостатков безопасности ядра Linux. Информацию предполагалось отправить в частный список рассылки, посвященный вопросам безопасности, чтобы разработчики могли устранить уязвимость до того, как она станет публичной. Однако соответствующее электронное письмо было по ошибке отправлено в общедоступный список рассылки ядра Linux, что позволило всем подписчикам просмотреть подробности об уязвимости.
После того, как инцидент был раскрыт, Грег Кроа-Хартман, руководитель службы поддержки стабильной версии ядра Linux, публично выразил недовольство и призвал исследователей безопасности улучшить процесс отправки сообщений об уязвимостях и избегать публикации неустраненных проблем безопасности непосредственно в общедоступных каналах. Другие разработчики и члены сообщества в списке рассылки также выразили критику и обеспокоенность по поводу упущения.
Это неожиданное раскрытие связано как минимум с шестью уязвимостями, которые еще не исправлены. Две из них представляют собой уязвимости удаленного выполнения кода с высоким уровнем риска, и обе получили оценку CVSS 9.0. В реализации SMB Direct существует уязвимость, вызванная проблемой переполнения целочисленного значения, которая может позволить злоумышленнику удаленно выполнить код. Другая уязвимость связана с состоянием гонки в компоненте KSMBD, что также может привести к удаленному выполнению вредоносного кода.
Кроме того, существует множество уязвимостей, которые могут привести к повышению привилегий или раскрытию информации. Например, реализация skb_zerocopy в сетевой подсистеме имеет недостатки безопасности и может использоваться для локального повышения привилегий; в графическом драйвере VMware VMWGFX возникла проблема с записью за пределами границ, что также может привести к локальному повышению привилегий; В коде, связанном с NVMET, есть проблема с неинициализированными ресурсами, что может привести к утечке конфиденциальной информации.
Кроме того, уязвимость, которая ранее была отправлена в список рассылки, связана с проблемой переполнения буфера стека во время обработки TCP-запроса и также может быть использована для достижения локального повышения привилегий.
Некоторые уязвимости находятся в процессе устранения. Среди них патчи, связанные с SMB Direct, изначально планировалось объединить в ходе цикла разработки Linux 7.5. После этого раннего выявления разработчики могут ускорить процесс восстановления и выпуска. О другой уязвимости сетевой подсистемы ранее сообщалось команде безопасности ядра по другим каналам, и ожидается, что соответствующий патч будет выпущен в ближайшем будущем.
Инсайдеры отрасли отмечают, что предварительное раскрытие подробностей об уязвимостях часто увеличивает риски. В последние годы злоумышленники все чаще используют автоматизированные инструменты, методы обратного проектирования и анализ с помощью искусственного интеллекта для поиска и использования уязвимостей программного обеспечения. Публичное раскрытие информации об уязвимостях до того, как патч будет широко распространен, может сократить время, необходимое злоумышленникам для разработки кода эксплойта.
В настоящее время группа разработчиков ядра Linux работает над исправлением соответствующих уязвимостей, и фактическое влияние этой ошибки отправки электронной почты еще предстоит изучить. Этот инцидент также еще раз подчеркивает важность процесса раскрытия уязвимостей безопасности и необходимость надлежащей защиты конфиденциальной технической информации до выпуска исправлений.
Комментарии