Genişletilmiş Linux destek sözleşmeleri bilinen açıkları neden hâlâ yamalamıyor

Ayush Singh'in dev.to'daki yazısı, eski altyapı işleten herkesin bildiği bir çıkmazı ele alıyor: Bir Linux sunucusu hâlâ satıcı destek sözleşmesi kapsamında, güvenlik açığı tarayıcısı CVE'leri işaretlemeye devam ediyor ve uygulama ekibi de işletim sistemi resmî olarak desteklendiği için yama yapmaya gerek görmüyor. Makalenin savunusuna göre her iki taraf da kısmen haklı, çünkü genişletilmiş destek sözleşmeleri ile güvenlik açığı tarayıcıları iki farklı şeyi ölçüyor.

Satıcı desteği gerçekte neyi kapsıyor

dev.to yazısına göre kurumsal Linux dağıtımları standart destek, bakım desteği, genişletilmiş destek ve son olarak kullanım ömrünün sonu şeklinde bir yaşam döngüsünden geçiyor. Etiketler satıcıya göre değişir ve kritik uyarı şudur: Bu yaşam döngüsünün içinde olmak, her paketin aynı türden güncellemeleri aldığı anlamına gelmez.

Makale iki somut örnek veriyor: Belirli minor sürümler için güvenlik güncellemeleri ve hata düzeltmeleri sağlayan Red Hat'in Extended Update Support'u ve desteklenen LTS sürümlerini hedefleyen Ubuntu'nun Extended Security Maintenance'i. Her iki durumda da fiilî kapsam ürüne, sürüme, pakete, mimariye ve müşterinin satın aldığı destek offering'ine bağlıdır. Dolayısıyla bir ekip sunucu destekleniyor dediğinde yararlı takip sorusu şudur: Bu destek gerçekte neyi kapsıyor?

Tarayıcılar neden yanılıyor

Yazı, backporting'i bulmacanın en yanlış anlaşılan parçası olarak tanımlıyor. Kurumsal satıcılar rutin olarak bir güvenlik düzeltmesini daha yeni bir upstream sürümünden alıp sevk ettikleri eski paket sürümüne aktarıyor; Red Hat bu uygulamayı açıkça belgeliyor. Dolayısıyla bir paket upstream'e kıyasla bayat görünürken belirli bir CVE için düzeltmeyi çoktan içermiş olabilir.

Sonuç şudur: Kurulu sürüm numarasını upstream'deki düzeltilmiş sürümle karşılaştıran tarayıcılar, fiilen giderilmiş güvenlik açıklarını işaretleyecektir. Tersi sorun da aynı derecede gerçek: Genişletilmiş destek hakkı belirli bir paketi, repository'yi veya mimariyi hiç kapsamıyor olabilir; dolayısıyla işletim sistemi desteklense bile işaretlenen bir CVE gerçekten açık olabilir.

Eski sistemlerin sıkışması

Yazı, ELS güvenlik açığı paradoksu dediği durumu anlatıyor. Sistemler eskidikçe uygulama bağımlılıkları, göç zorluğu ve iş açısından kritiklik artarken; yükseltme seçenekleri, desteklenen paketlerin çeşitliliği ve değişime tolerans daralıyor ve tarayıcı bulguları sürekli büyüyor. Makaleye göre genişletilmiş destek tam da bu boşluğu köprülemek için var; hemen daha yeni bir platforma geçemeyen sistemlere daha uzun bir destekli yol veriyor. Ekosistemin herhangi bir yerinde ortaya çıkan her CVE'nin düzeltileceği yönünde bir taahhüt değildir.

Analistler için bir doğrulama iş akışı

dev.to yazısı, tespit edilen CVE'den zorunlu yamaya atlamak yerine bir doğrulama zinciri ortaya koyuyor: işletim sistemini ve paketi tanımla, satıcı advisory'sini oku, o sürüm için yaşam döngüsünü ve genişletilmiş destek durumunu teyit et, bir düzeltmenin zaten backport edilip edilmediğini kontrol et, fiilî maruziyeti belirle, exploit edilebilirliği ve iş açısından kritikliği tart ve ancak bundan sonra yamalamayı, hafifletmeyi, kabul etmeyi veya göç etmeyi seç.

Maruziyet soruları şunları içerir: Etkilenen servis çalışıyor mu, savunmasız kod yolu etkinleştirilmiş mi, servis ağdan erişilebilir mi veya internete mi açık, önde bir kimlik doğrulama veya telafi edici kontrol var mı. Exploit edilebilirlik konusunda makale, yalnızca ham önem etiketlerinden daha iyi sinyaller olarak exploit kullanılabilirliğine, aktif istismar kanıtına, EPSS puanlarına ve CISA Known Exploited Vulnerabilities kataloğuna işaret ediyor.

Yazı yöntemi varsayımsal bir senaryoyla somutlaştırıyor: Bir tarayıcı, genişletilmiş destek kapsamındaki bir üretim sunucusundaki eski bir OpenSSL paketi için kritik bir CVE işaretliyor; buna karşılık uygulama sahibi uygulamanın daha yeni bir sürümde sertifikalı olmadığı konusunda ısrar ediyor. Çıkarım şu: Tarayıcı çıktısı üzerinden tartışmak hiçbir şeyi çözmez; satıcı advisory'lerini, backport'ları ve kapsam durumunu kontrol etmek ise soruyu gerçekten netleştirir.

Neden önemli

Genişletilmiş destek, birçok büyük kuruluşun iş açısından kritik iş yüklerini yaşlanan Linux sürümlerinde çalışır tutma biçimidir; bu yüzden bunu yanlış okumak iki yönlü zarar verir. Sürüm tabanlı tarayıcı çıktısına güvenen ekipler çoktan düzeltilmiş CVE'lerin peşine düşer ve uygulama sahipleri nezdinde güvenilirliklerini kaybeder; işletim sisteminin desteklendiği gerçeğine aşırı yaslanan ekipler ise kritik sistemlerde gerçek, yamalanmamış riskleri kabul edebilir. Soruyu kaç CVE açık şeklinden belirli bir sürümdeki belirli bir paket için belirli bir güvenlik açığı kapsanıyor mu şekline dönüştürmek, güvenlik açığı yönetimini dashboard temizliğinden gerçek risk azaltmaya çeviren şeydir.