Уязвимости ядра Linux случайно оказались в открытом списке разработчиков
В публичной рассылке разработчиков ядра Linux появились сообщения о нескольких ещё не устранённых уязвимостях. По всей видимости, отчёты следовало направить по закрытому каналу: на это обратил внимание один из ведущих сопровождающих ядра Грег Кроа-Хартман, ответивший на публикации и спросивший, почему они размещены открыто.
Сообщения направила программа Zero Day Initiative компании Trend Micro. Часть описанных ошибок уже получила исправления, которые тестируются или находятся в ветках подготовки будущих версий. Однако на момент публикации основной ветки ядра затронутые проблемы ещё не были устранены. Для некоторых уязвимостей оценка по шкале CVSS достигает 9 баллов из 10 - это высокий уровень серьёзности, хотя он сам по себе не означает, что атака уже ведётся или возможна при любых условиях.
Среди опубликованных отчётов - ZDI-CAN-33549, связанный с компонентом SMB Direct. Ошибка целочисленного переполнения может привести к выполнению произвольного кода. Исправление уже подготовлено в Git-ветке для Linux 7.5; после огласки его включение в основную ветку может ускориться.
В KSMBD обнаружена проблема ZDI-CAN-33774: состояние гонки, которое, согласно описанию, также способно открыть путь к удалённому выполнению кода. Уязвимости присвоена оценка CVSS 9,0.
Проблема ZDI-CAN-33367 относится к сетевой подсистеме и связана с функцией `skb_zerocopy`, работающей со структурами `skbuff`. Она может позволить локальному пользователю повысить привилегии. Информация об этой ошибке поступила разработчикам из другого источника ещё до появления сообщения в открытом доступе; исправление ожидалось в ближайшее время.
Ещё два отчёта касаются отдельных компонентов ядра. ZDI-CAN-34068 описывает запись за пределами выделенного буфера в графическом драйвере VMware VMWGFX, которая может привести к локальному повышению привилегий. ZDI-CAN-34076 связана с использованием неинициализированного ресурса в коде NVMET и потенциальным раскрытием информации.
В списке также фигурирует ZDI-CAN-32005 - ошибка переполнения буфера в стеке при обработке TCP-запросов, связанных с поиском домена. Она может привести к повышению привилегий на локальной системе. Таким образом, последствия у выявленных проблем различаются: одни затрагивают сетевые компоненты и потенциально могут привести к выполнению кода, другие требуют локального доступа или создают риск утечки данных.
Публичное раскрытие до появления исправлений осложняет работу разработчиков: злоумышленники могут изучить детали ошибки и попытаться найти системы, которые ещё не обновлены. В отрасли также отмечают, что инструменты анализа кода и искусственный интеллект ускоряют поиск уязвимостей и подбор способов их эксплуатации. Это не доказывает, что каждая опубликованная ошибка уже используется на практике, но делает своевременную установку исправлений особенно важной.
Администраторам Linux-систем стоит следить за обновлениями используемого дистрибутива и ядра, а после выхода исправлений устанавливать их без неоправданной задержки. Номер версии сам по себе не всегда показывает, защищена ли система: дистрибутивы могут переносить отдельные исправления в собственные сборки. Поэтому проверять следует не только версию ядра, но и уведомления сопровождающей команды конкретного дистрибутива.
Если немедленное обновление невозможно, разумно оценить, задействованы ли в системе уязвимые компоненты и доступны ли они потенциальному атакующему. Неиспользуемые сетевые службы и драйверы лучше отключить, а доступ к административным функциям ограничить. Такие меры не заменяют патч, но могут сократить поверхность атаки до его установки.
Инцидент подчёркивает, почему сведения о ещё не исправленных уязвимостях обычно передают разработчикам конфиденциально. Закрытый период даёт сопровождающим возможность подготовить патч и согласовать его выпуск с дистрибутивами. Если технические подробности становятся публичными раньше времени, этот запас времени сокращается.
Проблема возникает на фоне большого потока сообщений об уязвимостях в Linux. По данным, приводившимся сопровождающим стабильной ветки Грегом Кроа-Хартманом, за первые шесть месяцев 2026 года ядру было присвоено 2308 CVE-идентификаторов. В тот период Linux вышел на первое место среди производителей программного обеспечения по числу зарегистрированных CVE. Высокое количество записей не означает, что все ошибки одинаково опасны: для оценки важны условия эксплуатации, последствия и наличие доступного исправления.
