最近、Trend MicroのZero Day Initiative (ZDI) による手続き上の誤りと思われる事象により、一連のLinuxカーネル脆弱性が公開のLinux Kernel Mailing List (LKML) で公開されました。通常、セキュリティ研究者は、欠陥が公に知られる前に開発者がパッチの調整を行えるよう、非公開の制限付きメーリングリストに脆弱性レポートを提出します。今回のケースでは、レポートが公開リストに送信されたため、Linuxのナンバー2であるGreg Kroah-Hartman氏が、プラットフォームの選択について提出者に問い合わせを行いました。
この画像は、記事で議論されている広範なLinuxセキュリティの状況とカーネル開発環境を象徴している。
公開された脆弱性には、Common Vulnerability Scoring System (CVSS) スコアが9.0に達する複数の高深刻度の問題が含まれています。これらには、整数アンダーフローによって引き起こされるSMB Directのリモートコード実行 (RCE) 脆弱性や、同様にRCEにつながる可能性のあるKSMBDのレースコンディションが含まれます。その他の報告された問題には、ネットワークコードのskbuff skb_zerocopyにおけるローカル権限昇格 (LPE)、VMWGFX VMwareグラフィックスドライバにおける境界外書き込み、および初期化されていないリソースによるNVMETコードの情報漏洩が含まれます。一部のパッチはすでに「-next」ブランチでテスト中ですが、他のパッチはまだメインラインカーネルにマージされていません。
この事件は、Linuxカーネルの開示プロセスの繊細なバランスを浮き彫りにしました。カーネルコミュニティは一般的な開発のために公開メーリングリストを維持していますが、セキュリティプロセスは、パッチ適用期間中の悪用を防ぐために機密性に依存しています。SMBやグラフィックスドライバのような重要なサブシステムを含むこれらのバグが誤って公開されたことは、報告パイプラインに内在するリスクを強調しています。公開によってこれらの脆弱性はすでに広範なコミュニティに可視化されており、開発者がメインラインカーネルへの必要なセキュリティパッチを迅速に進めている最中であるにもかかわらず、その状況にあります。