Riassunto:
Di recente si è verificato un incidente di sicurezza che ha causato diffusa preoccupazione nella comunità di sviluppo del kernel Linux. Numerosi rapporti sulle vulnerabilità del kernel Linux senza patch che i ricercatori sulla sicurezza avrebbero dovuto inviare tramite canali privati sono stati inviati alla mailing list pubblica del kernel Linux (LKML) a causa di errori operativi, con conseguente esposizione anticipata di informazioni rilevanti sulla vulnerabilità.
Quando si è verificato l'incidente, la versione stabile di Linux 7.3 era appena stata rilasciata e la versione Linux 7.4 era ancora in fase di sviluppo delle funzionalità. Questa fuga di notizie non ha nulla a che fare con il precedente incidente di vulnerabilità PHP che ha causato l'aggiornamento urgente di un gran numero di amministratori di siti Web, ma ha anche causato uno shock nella comunità della sicurezza open source.
Secondo i rapporti, Zero Day Initiative (ZDI) di Trend Micro ha presentato diverse segnalazioni relative a difetti di sicurezza del kernel Linux. Le informazioni avrebbero dovuto essere inviate a una mailing list privata dedicata ai problemi di sicurezza in modo che gli sviluppatori potessero correggere la vulnerabilità prima che diventasse pubblica. Tuttavia, l'e-mail in questione è stata erroneamente inviata alla mailing list pubblica del kernel Linux, consentendo a tutti gli abbonati di visualizzare i dettagli della vulnerabilità.
Dopo la scoperta dell'incidente, Greg Kroah-Hartman, responsabile della manutenzione della versione stabile del kernel Linux, ha espresso pubblicamente insoddisfazione e ha esortato i ricercatori di sicurezza a migliorare il processo di segnalazione delle vulnerabilità ed evitare di rilasciare problemi di sicurezza non risolti direttamente ai canali pubblici. Anche altri sviluppatori e membri della comunità sulla mailing list hanno espresso critiche e preoccupazioni per l'errore.
Questa divulgazione inaspettata coinvolge almeno sei vulnerabilità a cui non sono state ancora applicate le patch. Due di queste sono vulnerabilità ad alto rischio legate all’esecuzione di codice in modalità remota ed entrambe hanno ricevuto punteggi CVSS 9.0. Esiste una vulnerabilità nell'implementazione diretta SMB, causata da un problema di underflow di numeri interi, che potrebbe consentire a un utente malintenzionato di ottenere l'esecuzione di codice in modalità remota. Un'altra vulnerabilità è legata a una race condition nel componente KSMBD, che può anche portare all'esecuzione remota di codice dannoso.
Inoltre, esistono molteplici vulnerabilità che possono portare all'escalation dei privilegi o alla divulgazione di informazioni. Ad esempio, l'implementazione skb_zerocopy nel sottosistema di rete presenta difetti di sicurezza e può essere utilizzata per l'escalation dei privilegi locali; si è verificato un problema di scrittura fuori dai limiti nel driver grafico VMWGFX VMware, che potrebbe anche portare a un'escalation dei privilegi locali; Il codice relativo a NVMET presenta un problema con le risorse non inizializzate, che potrebbe causare la perdita di informazioni riservate.
Inoltre, una vulnerabilità precedentemente segnalata alla mailing list comporta un problema di overflow del buffer dello stack durante l'elaborazione delle query TCP e potrebbe anche essere sfruttata per ottenere un'escalation dei privilegi locali.
Alcune vulnerabilità sono attualmente in fase di correzione. Tra questi, le patch relative a SMB Direct erano originariamente previste per essere unificate durante il ciclo di sviluppo di Linux 7.5. Dopo questa prima esposizione, gli sviluppatori potrebbero accelerare la riparazione e l'avanzamento del rilascio. Un'altra vulnerabilità del sottosistema di rete è stata precedentemente segnalata al team di sicurezza del kernel attraverso altri canali e la relativa patch dovrebbe essere rilasciata nel prossimo futuro.
Gli esperti del settore sottolineano che rivelare in anticipo i dettagli delle vulnerabilità spesso aumenta i rischi. Negli ultimi anni, gli aggressori hanno utilizzato sempre più strumenti automatizzati, tecniche di reverse engineering e analisi assistite dall’intelligenza artificiale per individuare e sfruttare le vulnerabilità del software. Prima che una patch venga distribuita su larga scala, l’esposizione pubblica delle informazioni sulla vulnerabilità può ridurre il tempo concesso agli aggressori per sviluppare codice di exploit.
Attualmente, il team di sviluppo del kernel Linux sta portando avanti le correzioni delle vulnerabilità correlate e l'impatto effettivo di questo errore di invio di e-mail resta da osservare ulteriormente. L'incidente evidenzia ancora una volta l'importanza del processo di divulgazione delle vulnerabilità della sicurezza e la necessità di proteggere adeguatamente le informazioni tecniche sensibili prima che vengano rilasciate le patch.
Commenti