Linux 7.3 çekirdeğinin kararlı sürümü yalnızca birkaç gün önce kullanıma sunuldu. 7.4 sürümüne yeni özellikler eklenmeye devam ederken beklenmedik bir siber güvenlik olayı işleri biraz karıştırdı. Bu olayın, dün milyonlarca web sitesi sahibini güvenlik yamalarını uygulamak için harekete geçiren PHP paniğiyle hiçbir ilgisi yok. Görünüşe göre güvenlik araştırmacıları, Linux çekirdeğindeki henüz yamalanmamış güvenlik açıklarının ayrıntılarını yanlışlıkla sızdırdı.
Phoronix’in fark ettiği üzere, Trend Micro’nun Zero Day Initiative ekibi, Linux çekirdeğindeki henüz yamalanmamış güvenlik açıklarına ilişkin birkaç rapor gönderdi. Görünüşe göre bu bir hataydı çünkü ayrıntılar, normalde bu tür bilgilerin paylaşıldığı özel güvenlik e-posta listesi yerine herkese açık Linux çekirdeği e-posta listesinde (LKML) paylaşıldı.
Bunu LKML’nin resmî olmayan arşiv sitesinden de doğruladık. Linux’ta Linus’un ardından gelen ikinci isim Greg Kroah-Hartman’ın, Trend Micro’nun hatasına oldukça öfkelendiği görülüyor. Kroah-Hartman, birden fazla tartışma başlığına (1, 2, 3) yanıt vererek güvenlik araştırmacılarını rapor gönderme süreçlerini düzeltmeye ve henüz yamalanmamış güvenlik açıklarına ilişkin raporları herkese açık e-posta listelerine göndermemeye çağırdı. Başkaları da bu raporlardan duydukları rahatsızlığı dile getirdi.
Phoronix, söz konusu güvenlik açıklarını şöyle özetledi:
- ZDI-CAN-33549: SMB Direct’te tamsayı alt taşmasından (integer underflow) kaynaklanan ve uzaktan kod çalıştırmaya olanak tanıyan, CVSS puanı 9,0 olan bir güvenlik açığı. Bu açık için Linux 7.5’e yönelik bir Git kod dalında yama bulunuyor. Ancak artık yamanın Linux çekirdeğinin ana kod dalına alınmasının hızlandırılması bekleniyor.
- ZDI-CAN-33774: KSMBD’deki bir yarış durumundan (race condition) kaynaklanan ve uzaktan kod çalıştırmaya yol açabilen bir güvenlik açığı. Bu açığın da CVSS puanı 9,0.
- ZDI-CAN-33367: Ağ kodundaki skbuff skb_zerocopy ile bağlantılı, yerel ayrıcalık yükseltmeye yol açabilen bir güvenlik açığı. Linux çekirdeği geliştiricileri, geçen hafta aynı sorun hakkında başka bir kaynaktan güvenlik raporu aldı. Yakında bir yama yayımlanması bekleniyor.
- ZDI-CAN-34068: VMware’in VMWGFX grafik sürücüsünde, bellek sınırları dışına yazma (out-of-bounds write) hatasından kaynaklanan ve yerel ayrıcalık yükseltmeye yol açan bir güvenlik açığı.
- ZDI-CAN-34076: NVMET kodundaki başlatılmamış bir kaynak nedeniyle bilgi sızmasına yol açan bir güvenlik açığı.
- ZDI-CAN-32005: Arama etki alanına (search-domain) yönelik bir TCP sorgusunda, yığın tampon taşmasından (stack buffer overflow) kaynaklanan ve yerel ayrıcalık yükseltmeye yol açabilen bir güvenlik açığı. Bu rapor da diğerlerinden bir gün önce e-posta listesine gönderildi.
Bu güvenlik açıklarına ilişkin bilgilerin artık herkese açık olması kuşkusuz kötü bir gelişme. Kötü niyetli kişiler, güvenlik açıklarını tespit etmek ve bunlardan yararlanmak için YZ ile hızlandırılmış tersine mühendislik ve kaba kuvvet tekniklerini zaten kullanıyor. Bu olay da mevcut sorunları daha da büyütüyor. Söz konusu hatanın ne gibi sonuçlar doğuracağı henüz belli değil.
Kaynak: https://www.neowin.net/news/unpatched-linux-kernel-vulnerabilities-accidentally-emailed-to-public-mailing-list/
