Resumo:
Um incidente de segurança que causou preocupação generalizada ocorreu recentemente na comunidade de desenvolvimento do kernel Linux. Vários relatórios de vulnerabilidade do kernel Linux não corrigidos que os pesquisadores de segurança deveriam ter enviado por meio de canais privados foram enviados à lista pública de discussão do kernel Linux (LKML) devido a erros operacionais, resultando na exposição antecipada de informações relevantes sobre vulnerabilidade.
Quando o incidente ocorreu, a versão estável do Linux 7.3 havia acabado de ser lançada e a versão Linux 7.4 ainda estava em fase de desenvolvimento de recursos. Esse vazamento não tem nada a ver com o incidente anterior de vulnerabilidade do PHP, que fez com que um grande número de administradores de sites atualizassem com urgência, mas também causou um grande choque na comunidade de segurança de código aberto.
De acordo com relatos, a Iniciativa Zero Day (ZDI) da Trend Micro apresentou vários relatórios envolvendo falhas de segurança no kernel Linux. As informações deveriam ser enviadas para uma lista de discussão privada dedicada a questões de segurança para que os desenvolvedores pudessem corrigir a vulnerabilidade antes que ela se tornasse pública. No entanto, o e-mail relevante foi enviado por engano para a lista de discussão pública do kernel Linux, permitindo que todos os assinantes visualizassem os detalhes da vulnerabilidade.
Depois que o incidente foi exposto, Greg Kroah-Hartman, chefe de manutenção da versão estável do kernel Linux, expressou publicamente sua insatisfação e instou os pesquisadores de segurança a melhorar o processo de envio de vulnerabilidades e evitar a divulgação de problemas de segurança não corrigidos diretamente em canais públicos. Outros desenvolvedores e membros da comunidade na lista de discussão também expressaram críticas e preocupação com o lapso.
Essa divulgação inesperada envolve pelo menos seis vulnerabilidades que ainda não foram corrigidas. Duas delas são vulnerabilidades de execução remota de código de alto risco e ambas receberam pontuações CVSS 9.0. Existe uma vulnerabilidade na implementação do SMB Direct, causada por um problema de underflow de número inteiro, que poderia permitir que um invasor conseguisse a execução remota de código. Outra vulnerabilidade está relacionada a uma condição de corrida no componente KSMBD, que também pode levar à execução remota de código malicioso.
Além disso, existem diversas vulnerabilidades que podem levar ao escalonamento de privilégios ou à divulgação de informações. Por exemplo, a implementação skb_zerocopy no subsistema de rede apresenta falhas de segurança e pode ser usada para escalonamento de privilégios locais; há um problema de gravação fora dos limites no driver gráfico VMWGFX VMware, que também pode levar ao escalonamento de privilégios locais; O código relacionado ao NVMET tem um problema com recursos não inicializados, o que pode causar o vazamento de informações confidenciais.
Além disso, uma vulnerabilidade que foi enviada anteriormente para a lista de discussão envolve um problema de estouro de buffer de pilha durante o processamento de consultas TCP e também pode ser explorada para obter escalonamento de privilégios locais.
Algumas vulnerabilidades estão em processo de correção. Entre eles, os patches relacionados ao SMB Direct foram originalmente planejados para serem mesclados durante o ciclo de desenvolvimento do Linux 7.5. Após essa exposição inicial, os desenvolvedores podem acelerar o progresso do reparo e do lançamento. Outra vulnerabilidade do subsistema de rede foi relatada anteriormente à equipe de segurança do kernel por meio de outros canais, e espera-se que o patch relevante seja lançado em um futuro próximo.
Indicadores do setor apontam que a divulgação antecipada de detalhes de vulnerabilidade geralmente aumenta os riscos. Nos últimos anos, os invasores têm utilizado cada vez mais ferramentas automatizadas, técnicas de engenharia reversa e análises assistidas por inteligência artificial para encontrar e explorar vulnerabilidades de software. Antes de um patch ser amplamente implementado, a exposição pública de informações de vulnerabilidade pode encurtar a janela para os invasores desenvolverem código de exploração.
Atualmente, a equipe de desenvolvimento do kernel Linux está avançando em correções de vulnerabilidades relacionadas, e o impacto real desse erro de envio de e-mail ainda precisa ser observado com mais detalhes. O incidente também destaca mais uma vez a importância do processo de divulgação de vulnerabilidades de segurança e a necessidade de proteger adequadamente informações técnicas confidenciais antes que os patches sejam lançados.
Comentários