Linux kodola CVE skaits laidienā uzkāpis no 500 līdz 1500, 7.3 var pārsniegt 2000

Greg Kroah-Hartman pirms septembra Kernel Recipes konferences Parīzē publicēja vienu slaidu no savas gaidāmās prezentācijas. Uz tā ir CVE skaits katrā Linux kodola laidienā, sākot ar 6.9. Līdz 6.19 vidējais rādītājs turējās apmēram pie 500 izlabotiem CVE uz laidienu. Sākot ar 7.0 tas pārsniedza tūkstoti. Ar 7.2 skaitlis pārkāpa 1500. Gaidāmais 7.3 var kļūt par pirmo kodola laidienu ar vairāk nekā 2000 CVE.

Iemesls nav pēkšņs kodola kvalitātes kritums. Kodola pirmkodā ir apmēram 40 miljoni rindu. Tās tagad sistemātiski skenē lielie valodas modeļi, kas atrod reālas atmiņas kļūdas vietās, kur cilvēks nav skatījies gadiem. Katra tāda kļūda ar kaut vismazāko drošības nokrāsu kodola CVE komandā pārvēršas par numuru.

Kāpēc numuru skaits aug ātrāk par risku

Linux kodols kļuva par savu CVE numerācijas iestādi (CNA) 2024. gada februārī. Kopš tā laika loģika ir apzināti vienkārša: ja labojumam ir iespējamas drošības sekas, tas saņem CVE. Bīstamības vērtējumu komanda nedod. CVSS balles kodola CNA neizsniedz vispār.

Tas nav slinkums. Kodolu var nokompilēt desmitos tūkstošu konfigurāciju kombināciju. Viena kļūda uz x86 servera ar noklusējuma iestatījumiem var būt nesasniedzama. Tā pati kļūda uz ARM iekārtas ar citu draiveru kopu var būt tieši izmantojama. LWN aprakstīja šo procesu jau pirmajā gadā: laikā no 6.7.1 līdz 6.8.9 komanda no 16 514 iesūtītajiem labojumiem CVE piešķīra 863, tas ir apmēram 5 %. Vēl 65 piešķirtos numurus pēc iebildumiem atsauca.

Pie 500 CVE laidienā tas 5 % filtrs strādāja. Kad iesūtīto labojumu straume aug, aug arī rezultāts, jo proporcija paliek tā pati. Nekas procesā nemainījās. Mainījās ieejas apjoms.

Tīkla apakšsistēma to sajuta pirmā

Linux 7.3 apvienošanas logā tīkla uzturētāji ievāca 632 labojumus net zarā un 648 labojumus net-next zarā. Jakub Kicinski savā pull pieprasījumā rakstīja, ka komanda ir “completely overwhelmed”. Viņš norādīja, ka no trešdaļas līdz pusei net-next labojumu izskatās pēc AI radītiem zemas prioritātes tīrījumiem un precizējumiem.

Risinājums, ko tīkla komanda izvēlējās, ir zīmīgs: tā panāca pietiekamu LLM budžetu, lai katru iesūtīto labojumu izlaistu caur vairākiem modeļiem apskatei. Rēķinu sedz Meta. Modeļi tagad strādā abās pusēs, gan kļūdu meklēšanā, gan to apskatē. Kicinski tajā pašā vēstulē piebilst, ka modeļu apskate aizvieto tikai daļu no darba.

Kodola drošības komanda pati neveic nekādu ziņošanu vai ārēju komunikāciju. Greg Kroah-Hartman, kroah.com

Vecais kods aiziet, jo neviens negrib to apskatīt

Otras sekas ir vecu draiveru izmešana. Linux 7.3 char/misc partijā ārpus koka palika vecs IBM draiveris kopā ar vairākiem SGI draiveriem. Iemesls formulēts atklāti: šo kodu praktiski neviens vairs nelieto, bet AI ģenerētie kļūdu ziņojumi par to turpina nākt. Katrs ziņojums prasa cilvēka laiku, jo uzturētājam tas ir jāizlasa un jāsaprot, vai runa ir par reālu problēmu.

Tāpēc 2026. gadā kodola koks kļūst mazāks. Šogad jau izmesti divi veci draiveri, ipwireless kodu aizvāca pats tā autors. Ja par apakšsistēmu atbildīgā vairs nav, kods vienkārši aiziet.

Kā kodola drošības process patiesībā strādā

Kroah-Hartman janvāra ierakstā aprakstīja divas atsevišķas komandas, ko no ārpuses bieži sajauc. Drošības komanda saņem ziņojumus, iesaista attiecīgās apakšsistēmas uzturētājus un iesūta labojumu publiskajā kokā. Embargo, kas garāks par septiņām dienām, nav atļauts vispār. CVE komanda ir citi cilvēki. Tā strādā vēlāk un lēmumu par numuru pieņem pēc labojuma nonākšanas kokā.

Ziņotājiem prasība ir vienkārša: vienkārša teksta e-pasts bez HTML un bez bināriem pielikumiem. Šifrēšana nedarbojas, jo viena adrese ved pie daudziem cilvēkiem. Komandas locekļi darbu dara kā privātpersonas. Viņi nedrīkst darba devējam pastāstīt neko no tā, kas apspriests aliasā, pirms problēma ir atrisināta. Kroah-Hartman raksta, ka tieši šī neatkarība ļāvusi komandai turpināt darbu dažādu valstu jurisdikcijās. Eiropas Savienības Kibernoturības akts (CRA) uzliek uzņēmumiem reakcijas laika prasības, tāpēc šāds modelis kļūst par normu arī citos projektos.

Ko ar šiem skaitļiem darīt administratoram

Praktiskā daļa ir nepatīkama. CVE skaitīšana kodolam vairs neko nepasaka par drošības stāvokli. Ja atbilstības process pieprasa atskaiti par visiem neizlabotajiem kodola CVE, tas nākamajā ceturksnī izdos divreiz garāku sarakstu bez saistības ar reālo apdraudējumu. Bīstamības vērtējums paliek patērētāja pusē, jo kodola CNA to neizsniedz.

Stratēģija, kas šajā modelī darbojas, ir tā pati, ko kodola komanda atkārto gadiem: lietot jaunāko stabilo vai LTS laidienu un ņemt visus labojumus. Atlasīt atsevišķus labojumus pēc CVE numuriem tagad nozīmē izsijāt divus tūkstošus ierakstu uz laidienu bez bīstamības datiem. Phoronix atzīmē, ka lielākā daļa jauno CVE attiecas uz vecu vai maz lietotu draiveru kodu, tāpēc ietekme uz tipisku serveri paliek maza.

Kroah-Hartman pilno prezentāciju rādīs Kernel Recipes konferencē, kas notiek no 21. līdz 23. septembrim Parīzē.

Avoti

• Phoronix: The Linux Kernel Is Approaching 2,000 CVEs Per Release
• Greg Kroah-Hartman: Linux kernel security work
• LWN: How kernel CVE numbers are assigned
• Phoronix: Linux 7.3 Network Changes Merged But Developers “Completely Overwhelmed” Due To AI/LLMs
• Phoronix: Old IBM Driver Joins Insecure SGI Drivers In Being Removed For Linux 7.3