Компания отправила в публичные рассылки ядра Linux отчёты о неисправленных уязвимостях
Trend Micro Zero Day Initiative отправила в публичные рассылки ядра Linux отчёты о неисправленных уязвимостях, две из которых получили оценку CVSS 9.0. Возникает вопрос, была ли это ошибка, ведь сами разработчики ядра недавно решили считать найденные ИИ баги публичными.
20-21 октября: ZDI отправила шесть отчётов команде безопасности ядра и, по-видимому, по ошибке в публичные рассылки, включая LKML и netdev. Пять отчётов касаются ядра, шестой относится к сетевому менеджеру ConnMan. Подробности изложены в обзоре PBX Science.1
Самые серьёзные два отчёта касаются KSMBD, встроенного в ядро SMB-сервера. Это удалённое выполнение кода через SMB Direct и состояние гонки в KSMBD. Phoronix первым заметил публикации.2
22 октября: Ни одна из двух уязвимостей не имела подтверждённого исправления в основной ветке ядра. Phoronix сообщил, что мейнтейнер SMB Direct Штефан Мецмахер отправил исправление для одной из них, но другие источники этого не подтвердили. The Hacker News привёл детали по обоим багам.3
Разработчики получили отчёт об одной из этих ошибок из другого источника неделей раньше, исправление ожидалось. Грег Кроа-Хартман ответил на отчёты, спросив, почему их отправили публично, и призвал ZDI исправить процесс подачи. Об этом пишет Neowin.4
Кого это касается: KSMBD необязательный компонент. Системы, где работает только Samba, не затронуты. Red Hat Enterprise Linux не включает KSMBD по умолчанию. Об этом сообщает Cybersecurity News.5
ИИ: Отчёты ссылаются на ИИ-сканер Trend Micro. В мае Линус Торвальдс назвал частный список безопасности ядра «почти полностью неуправляемым» из-за потока одинаковых ИИ-отчётов. По его словам, найденные ИИ баги «по определению не секретны». Об этом писал Tom's Hardware.6
Раньше в этот список приходило два-три отчёта в неделю, теперь пять-десять в день. Cyber Magazine приводит эти цифры.7
Новая документация, которую написал Вилли Тарро, велит направлять такие отчёты напрямую мейнтейнерам. Рабочий эксплойт предлагается не публиковать, а лишь упомянуть, что он есть. Подробности есть в материале Slashdot.8
Заключение: Ядро решило, что ИИ-находки не секретны, а исследователи привыкли к скрытому раскрытию. Если багов, найденных ИИ, станет ещё больше, такие споры будут повторяться. Главным вопросом остаётся, как раскрывать уязвимости, которые найдены инструментом, доступным всем.