Сначала PHP, теперь Linux: критические уязвимости в ядре ОС раскрыли до выхода патчей
- В ядре Linux раскрыли несколько уязвимостей до выхода исправлений; две получили 9,0 балла CVSS и потенциально позволяют удалённо выполнять код.
- Одна проблема затрагивает SMB Direct, другая — реализацию файлового сервера; патчи тестируются или готовятся к интеграции, но ещё не вошли в основную ветку ядра.
- Сопровождающий ядро Грег Кроа-Хартман выразил недоумение из-за публикации данных до готовности патчей; было ли раскрытие случайным, неизвестно.
Почему это важно: Исправления ещё не доступны в основной ветке ядра, а некоторые уязвимости потенциально допускают удалённое выполнение кода.
На этой неделе стало известно о выявлении критических уязвимостей в языке программирования PHP и сертификатах TLS/SSL. Теперь же в интернете появилась информация о нескольких уязвимостях в ядре Linux, для которых ещё не были выпущены исправления. Отчёты об уязвимостях опубликованы в рамках инициативы Zero Day Initiative компании Trend Micro и, вероятно, это было сделано по ошибке.
Источник изображения: unsplash.com / Luca Bravo
Среди раскрытых проблем две уязвимости имеют рейтинг 9,0 баллов по шкале CVSS. Одна из них затрагивает функцию SMB Direct, которая используется для повышения производительности при обмене файлами по протоколу SMB. Вторая уязвимость касается реализации файлового сервера в ядре Linux. Обе уязвимости потенциально могут использоваться злоумышленниками для удалённого выполнения кода. В других отчётах описаны уязвимости, позволяющие повысить уровень привилегий на локальном устройстве посредством сетевого кода, а также уязвимости, затрагивающие графический драйвер VMware и др.
Исправления для уязвимостей в настоящее время тестируются или готовятся для интеграции в одно из будущих обновлений ядра Linux, но ни одно из них ещё не попало в основную ветку ядра. Программист Грег Кроа-Хартман (Greg Kroah-Hartman), занимающийся сопровождением ядра Linux, выразил недоумение по поводу публичной публикации данных об уязвимостях, патчи для которых ещё не готовы. На данный момент не ясно, действительно ли раскрытие информации об этом произошло непреднамеренно.
Раскрытие информации об уязвимостях ядра Linux последовало за публикацией данных о скомпрометированных сертификатах TLS/SSL, связанных с индийским удостоверяющим центром eMudhra. Приватные ключи восьми промежуточных сертификатов оказались скомпрометированы, что потенциально могло использоваться злоумышленниками, чтобы выдавать себя за легитимные сайты и перехватывать зашифрованные соединения. В дополнение к этому разработчики языка программирования PHP вчера выпустили экстренные исправления для критических уязвимостей CVE-2026–109618 и CVE-2026–109619, о которых стало известно ранее. Обе уязвимости получили оценку 9,2 балла по шкале CVSS и могли использоваться для удалённого выполнения кода на затронутых проблемой серверах без предварительной аутентификации.
© 3DNews
