Linux kodola drošības komanda 19. jūlijā izsūtīja 431 CVE ierakstu, bet nākamajā dienā vēl deviņus. Kopā 440 ievainojamību apraksti nonāca linux-cve-announce vēstkopā mazāk nekā 24 stundu laikā. Skaitlis izskatās draudīgs, taču lielākā daļa šo caurumu jau ir aizlāpīti kodola stabilajos zaros.
Tik liels apjoms vienā dienā nav uzbrukumu vilnis. Tas ir veids, kā Linux kodola projekts kopš 2024. gada strādā ar CVE numuriem. Katrs ieraksts parādās tikai pēc tam, kad labojums jau ir iekļauts kodola koka stabilajā versijā.
Kāpēc vienā dienā 440 ierakstu
Divi iemesli nāk kopā. Pirmais ir tas, ka Linux kodols pats sev piešķir CVE numurus. Kopš 2024. gada februāra projekts ir CVE numuru autoritāte (CNA), tāpēc tam nav jāgaida ārēja iestāde. Komanda reģistrē un publicē caurumu ierakstus tieši. Tā to dara ar teju katru drošības labojumu, kas nonāk stabilajā zarā.
Otrais iemesls ir automātiskā caurumu meklēšana. Kā raksta securityonline.info, mākslīgais intelekts tagad atrod kļūdas ātrāk nekā cilvēku pētnieki. Vairāk atrastu kļūdu nozīmē vairāk labojumu. Katrs labojums stabilajā zarā var kļūt par CVE ierakstu, tāpēc numuru plūsma ir tikai augusi.
Rezultāts ir tāds, ka gada CVE kopskaits pie Linux kodola vairs neko daudz nepasaka par sistēmas drošību. Liela daļa ierakstu apraksta kļūdas, kuras nekad nesasniedza neviena reāla lietotāja mašīnu, jo tika salabotas izstrādes gaitā.
Šī pieeja izraisīja strīdus jau tad, kad projekts kļuva par CNA 2024. gada februārī. Daļa administratoru sūdzējās, ka viņu ievainojamību skeneri pēkšņi rāda simtiem jaunu brīdinājumu par kodolu, kaut sistēma ir pilnībā salāpīta. Kodola izstrādātāji atbild vienkārši: labāk piešķirt CVE numuru katrai potenciālai kļūdai, nekā izlaist kādu, kas vēlāk izrādās izmantojama. Šī jūlija sērija ir tiešs tās politikas turpinājums.
Kas ir aiz šiem numuriem
Lielākā daļa 440 ierakstu skar atmiņas drošības kļūdas: lietošanu pēc atbrīvošanas (use-after-free), null rādītāja atsauces, robežu pārkāpumus un sacensību stāvokļus. Tīkla apakšsistēma dominē, klāt arī netfilter, Bluetooth, glabāšana, virtualizācija, grafika un failu sistēmas. Daži ieraksti ir vērts uzmanības:
CVE-2026-64188: lietošana pēc atbrīvošanas Qualcomm RMNET tīkla draiverī.CVE-2026-64024: TCP time-wait secības numura noplūde, kas ļauj paredzēt sākotnējo secības numuru.CVE-2026-64206: bloķēšanas kļūda Bluetooth L2CAP slānī.CVE-2026-53383: robežu lasīšanas kļūda kodola iebūvētajā SMB servisā ksmbd.
Lietošana pēc atbrīvošanas ir viena no bīstamākajām kļūdu klasēm. Programma atbrīvo atmiņas gabalu, bet turpina to lietot pa vecu rādītāju. Uzbrucējs, kas spēj šo brīdi izmantot, dažkārt panāk sava koda izpildi kodola līmenī. Tāpēc RMNET un L2CAP ieraksti ir tie, kurus vērts pārbaudīt vispirms.
Vienu lietu der ievērot atsevišķi. Kodola komanda vēl nav piešķīrusi individuālus CVSS smaguma vērtējumus, tāpēc pagaidām nav vienkārša veida, kā sakārtot 440 ierakstus pēc bīstamības. Apjoms ir apsteidzis vērtēšanas procesu. Vērtējumi pienāks pakāpeniski, tāpēc pirmajās dienās administratoram pašam jāizsver, kuri moduļi viņa sistēmā vispār ir ieslēgti.
Ieraksts no Linux kodola komandas tiek izdots pēc tam, kad labojums jau ir iesniegts vai pārnests uz stabilajiem zariem. Publikācija seko labojumam, nevis iet tam pa priekšu.
Ko darīt sistēmu administratoriem
Panika nav vajadzīga, taču ignorēt arī nevar. gbhackers.com iesaka sākt ar inventarizāciju: noskaidrot, kuras kodola versijas darbojas un kuri moduļi ir ieslēgti. Pēc tam pārbaudīt atjauninājumus caur ierasto izmaiņu kontroli. Vispirms jāķeras pie serveriem, kas skatās uz internetu vai apkalpo vairākus klientus vienā mašīnā.
Praktiskais solis ir vienkāršs: uzstādīt jaunākās stabilās kodola pakotnes no savas distribūcijas. Īpaši vērts pārbaudīt sistēmas, kas izmanto ksmbd, TIPC protokolu vai SEV ieslēgtas KVM slodzes, jo tur atrodas daži no nopietnākajiem ierakstiem.
Lielākajai daļai lietotāju darbs jau ir padarīts. Ubuntu, Debian, Fedora un citas distribūcijas pārņem labotos stabilos kodolus savos atjauninājumos, tāpēc ierastā pakotņu atjaunināšana aizver vairumu no šiem 440 caurumiem. Grūtāk ir tiem, kas uztur pašu būvētus kodolus vai iesaldētas versijas ražošanā, jo tur katrs labojums jāizseko atsevišķi. Tieši šīm komandām 440 ierakstu saraksts nozīmē reālu darbu.
Ko skaitlis nozīmē turpmāk
440 ierakstu 24 stundās ir zīme, ka CVE skaits pie Linux kodola turpinās augt. Kad projekts pats reģistrē caurumus un mašīnas tos meklē arvien ātrāk, gada kopskaits kļūst par sliktu mērauklu. Administratoram svarīgāk ir zināt, vai labojums ir viņa kodola versijā, nekā skaitīt, cik ierakstu iznācis šonedēļ. Automātiskā meklēšana kļūst tikai ātrāka, tāpēc nākamā šāda diena var atnest vēl lielāku skaitli. Vienīgā aizsardzība, kas paliek nemainīga, ir regulāri uzstādīt stabilos kodola atjauninājumus.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.