Zero Day Initiative, yamalanmamış Linux kernel açıklarını yanlışlıkla herkese açık posta listesinde ifşa etti

Ne oldu

Yamalanmamış Linux kernel hatalarını anlatan bir yığın açık raporu, gece boyunca normalde bu tür raporların yönlendirildiği gizli güvenlik posta listesi yerine herkese açık Linux kernel posta listesinde (LKML) ortaya çıktı. Phoronix'e göre raporlar Trend Micro'nun Zero Day Initiative (ZDI) girişiminden geldi ve herkese açık paylaşım, bilinçli bir ifşa kararı değil bir hata gibi görünüyor.

Phoronix'in kernel projesindeki ikinci adam olarak nitelediği Greg Kroah-Hartman, her bir rapora ayrı ayrı yanıt vererek neden herkese açık listeye gönderildiklerini sordu. Phoronix'in bildirdiğine göre açıkların bazıları için yamalar halihazırda test ediliyor ya da "-next" entegrasyon dallarında sırayı bekliyor olsa da, açıklardan hiçbiri henüz mainline'da giderilmiş değil.

Açıklar

Phoronix altı sorunu listeliyor ve CVSS şiddet puanları 9.0'a kadar ulaşıyor:

• ZDI-CAN-33549 — CVSS 9.0 puanıyla, SMB Direct'teki bir integer underflow kaynaklı uzaktan kod çalıştırma açığı. Linux v7.5 geliştirme döngüsü için ayrılmış bir Git dalında düzeltme zaten mevcut; Phoronix bu düzeltmenin şimdi mainline'a öne çekileceğini tahmin ediyor.
• ZDI-CAN-33774 — Yine CVSS 9.0 puanıyla, kernel'in SMB sunucu uygulaması olan KSMBD'deki, uzaktan kod çalıştırmak için suistimal edilebilen bir race condition.
• ZDI-CAN-33367 — Ağ kodundaki skbuff skb_zerocopy işlemesindeki, yerel yetki yükseltmeye imkân tanıyan bir hata. Kernel geliştiricilerine bir hafta önce başka bir kaynaktan aynı sorunla ilgili ayrı bir rapor ulaştığı ve bir yamanın yakında gönderilmesinin beklendiği bildiriliyor.
• ZDI-CAN-34068 — Yerel yetki yükseltme için kullanılabilen, VMWGFX VMware grafik sürücüsündeki bir sınır dışına yazma (out-of-bounds write) sorunu.
• ZDI-CAN-34076 — Bilgi ifşasına yol açan, NVMET (NVMe target) kodundaki başlatılmamış kaynak sorunu.
• ZDI-CAN-32005 — Bir arama alanı (search-domain) TCP sorgusu üzerinden erişilebilen ve yerel yetki yükseltmeyle sonuçlanan bir stack buffer overflow. Phoronix, bunun diğerlerinden bir gün önce listeye düştüğüne dikkat çekiyor.

Sıkıştırılmış bir zaman çizelgesi

Kernel projesinin olağan akışı tam olarak bu durumdan kaçınmak için tasarlandı: araştırmacılar gizli bir listeye rapor eder, maintainers koordinasyon sağlayıp düzeltmeleri birleştirir ve ayrıntılar yalnızca yamalanmış sürümler mevcut olduğunda herkese açık hale gelir. Yanlışlıkla yapılan bir yayın bu zaman çizelgesini çökertiyor. LKML'yi izleyen herkes şu anda mainline hâlâ yamalanmamışken hataların teknik açıklamalarına sahip; bu da maintainers üzerinde bekleyen yamaları hızlandırma baskısı yaratıyor — v7.5 için sıraya alınmış SMB Direct düzeltmesi bunun en belirgin adayı.

Neden önemli

Etkilenen alt sistemleri etkinleştirilmiş şekilde mainline kernel çalıştıran herkes, ayrıntıları halka açık ama koruması henüz mevcut olmayan açıklarla karşı karşıya kalmanın garip konumunda. SMB kod yollarındaki iki CVSS 9.0 açığı en acil olanları, çünkü yerel erişim gerektirmek yerine uzaktan tetiklenebiliyorlar; bu da KSMBD veya SMB Direct servislerini dışarıya açan makineler için özellikle endişe verici. VMWGFX ve skbuff sorunları ise yerel yetki yükseltmenin hedef olduğu çok kullanıcılı sunucular ve sanallaştırma kurulumları için önemli.

Mainline düzeltmelerini bekleyemeyecek yöneticiler, en azından etkilenen bileşenlerin — KSMBD, VMWGFX ve NVMe target kodu — sistemlerinde etkin ya da yüklü olup olmadığını kontrol etmeli ve ihtiyaç duyulmadıkları yerde devre dışı bırakmalıdır; zira kullanılmayan alt sistemler kaldırılması en kolay saldırı yüzeyidir.

Olay aynı zamanda koordineli ifşanın pratikte ne kadar kırılgan olduğunun bir hatırlatıcısı. Köklü bir açık aracısından yanlış adrese giden tek bir e-posta, tek bir düzeltme birleşmeden canlı hata ayrıntılarını tüm internetin önüne koymaya yetti. Phoronix, kernel hata ve güvenlik raporu akışının yavaşlama belirtisi göstermediği gözlemiyle yazıyı kapatıyor.