Foto di Kevin Horvat.

Diverse vulnerabilità nel kernel Linux ancora prive di correzione definitiva sono state rese pubbliche accidentalmente con la diffusione di rapporti che avrebbero dovuto restare riservati. I rapporti sarebbero stati inviati alla Linux Kernel Mailing List (LKML), una lista pubblica utilizzata dagli sviluppatori del progetto, invece che al tradizionale canale privato impiegato per la gestione coordinata delle vulnerabilità. La procedura normalmente prevede che i dettagli tecnici restino riservati fino alla disponibilità delle correzioni, così da ridurre il rischio di sfruttamento da parte di attori malevoli.

Le segnalazioni sarebbero partite dalla Zero Day Initiative (ZDI) di Trend Micro. L'errore ha chiaramente attirato immediatamente l'attenzione degli sviluppatori del kernel, poiché i documenti pubblicati riguardavano falle che non erano ancora state corrette nella versione principale del progetto. Tra i problemi più seri figurano due vulnerabilità valutate con punteggio CVSS pari a 9,0. La prima interessa SMB Direct e potrebbe consentire l'esecuzione di codice da remoto. Per questa vulnerabilità esiste già una correzione presente in un ramo di sviluppo destinato a una futura versione del kernel, ma la divulgazione pubblica potrebbe accelerarne l'integrazione. La seconda falla critica coinvolge KSMBD, il server SMB implementato direttamente nel kernel Linux. In questo caso il problema è riconducibile a una condizione di competizione tra processi che potrebbe anch'essa consentire l'esecuzione di codice remoto da parte di un aggressore.

Le segnalazioni pubblicate comprendono inoltre una vulnerabilità nel sottosistema di rete legata alla funzione skb_zerocopy. Secondo quanto riportato dagli sviluppatori, il difetto potrebbe permettere a un utente locale di ottenere privilegi più elevati sul sistema. La comunità del kernel aveva già ricevuto una segnalazione indipendente sullo stesso problema e una correzione era già attesa a breve. Un ulteriore problema riguarda il driver grafico VMWGFX utilizzato negli ambienti VMware. La vulnerabilità è associata a una scrittura fuori dai limiti previsti della memoria e potrebbe essere sfruttata per ottenere privilegi superiori rispetto a quelli normalmente concessi all'utente. Tra le falle divulgate compare anche un difetto nel codice NVMET, relativo alle funzionalità NVMe over Fabrics. In questo caso il rischio principale è la divulgazione di informazioni che non dovrebbero essere accessibili, scenario che potrebbe facilitare attacchi più complessi o attività di raccolta dati da parte di aggressori. L'elenco comprende poi anche una vulnerabilità relativa alla gestione di alcune richieste TCP. Il problema è stato descritto come un possibile sovraccarico del buffer nello stack e potrebbe tradursi in un incremento dei privilegi per utenti locali.

La reazione della comunità di sviluppo non si è fatta attendere. Greg Kroah-Hartman, uno dei principali manutentori del kernel Linux, ha contestato pubblicamente la scelta di pubblicare tali segnalazioni su una lista aperta e ha chiesto di rivedere le procedure interne adottate per la divulgazione delle vulnerabilità. Anche altri sviluppatori hanno espresso preoccupazione per l'accaduto; al momento non è chiaro se la segnalazione delle falle nella lista pubblica sia davvero avvenuta per errore, anche se sembra l'ipotesi più probabile.

Leggi anche:

PHP in emergenza, falle critiche costringono milioni di siti a un aggiornamento ...

Windows, il Patch Tuesday di ottobre è da record

UE, la segnalazione delle vulnerabilità nei prodotti adesso è obbligat...

Chrome si aggiorna più spesso, adesso le patch sono quindicinali

Quali siano le conseguenze pratiche dell'incidente nei prossimi giorni è difficile da prevedere. Gli esperti raccomandano comunque di monitorare attentamente gli aggiornamenti distribuiti dai vari fornitori Linux e di applicare le correzioni non appena disponibili, soprattutto - ovviamente - nei sistemi che utilizzano i componenti coinvolti dalle vulnerabilità rese pubbliche.

Spunti di approfondimento:

GPT-6 Astra e il salto verso l'AGI tra benchmark estremi, falle zero-day e ...

L'IA trova migliaia di vulnerabilità nel kernel Linux: manutentori sott...

L'IA scopre oltre 1.000 falle in Chrome; Google valuta patch due volte a set...

Il debito tecnico come arma cibernetica?