Linux çekirdeğindeki kritik güvenlik açıkları yanlışlıkla herkese açık listeye gönderildi
Öne çıkanlar
- Zero Day Initiative ekibi henüz yamalanmamış açıkları yanlışlıkla halka açık LKML listesine iletti.
- İfşa edilen açıklar arasında CVSS puanı 9,0 olan iki adet uzaktan kod yürütme zafiyeti yer aldı.
- SMB Direct açığına yönelik yamanın ana çekirdeğe alınma süreci hızlandırıldı.
Trend Micro bünyesindeki Zero Day Initiative, Linux çekirdeğine ait henüz yamalanmamış çok sayıda güvenlik açığı raporunu özel güvenlik e-posta listesi yerine herkese açık Linux Çekirdeği E-posta Listesi'ne (LKML) iletti. Gece saatlerinde gerçekleşen bu kaza sonucunda, ana çekirdeğe henüz dahil edilmemiş ve CVSS puanı 9,0 seviyesine kadar ulaşan kritik açıklar kamuya açık hale geldi. Linux çekirdeği yöneticilerinden Greg Kroah-Hartman, listeye düşen her bildirime yanıt vererek raporların neden herkese açık alana gönderildiğini sordu.
Açıklanan güvenlik açıkları arasında SMB Direct üzerinde tamsayı yetersizliği nedeniyle uzaktan kod yürütülmesine izin veren 9,0 puanlı ZDI-CAN-33549 ile KSMBD tarafındaki yarış durumu kaynaklı yine 9,0 puanlı ZDI-CAN-33774 yer aldı. Ayrıca ağ kodundaki skbuff yapısından kaynaklanan yerel yetki yükseltme açığı ZDI-CAN-33367, VMware grafik sürücüsündeki sınır dışı yazma hatası ZDI-CAN-34068, NVMET kodunda bilgi sızıntısına yol açan ZDI-CAN-34076 ve arama alanı TCP sorgusundaki arabellek taşması açığı ZDI-CAN-32005 listelendi.
Söz konusu açıklara yönelik yamaların bir kısmı hâlihazırda geliştirme aşamasındaki Git dallarında veya -next kollarında test ediliyor. SMB Direct açığını hedefleyen düzeltmenin normal şartlarda Linux 7.5 sürümü için planlandığı ancak bu erken ifşa sebebiyle ana çekirdeğe aktarım sürecinin hızlandırılacağı belirtildi. Ağ bileşenindeki sıfır kopyalama hatası için de daha önce farklı bir kaynaktan rapor alındığı ve ilgili yamanın yakında yayımlanacağı aktarıldı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.