Linux çekirdeğinde tespit edilen ve henüz tamamı için yama yayımlanmayan güvenlik açıkları, kamuya açık bir e-posta listesinde duyuruldu. Trend Micro’nun Zero Day Initiative (ZDI) aracılığıyla bildirilen sorunların, normalde izlenmesi gereken özel süreç yerine yanlışlıkla herkese açık biçimde paylaşıldığı değerlendiriliyor; ancak bunun bir hata olup olmadığı kesinleşmiş değil.
İki kritik açık uzaktan kod çalıştırmaya yol açabilir
Bildirimler arasında CVSS ölçeğinde 10 üzerinden 9,0 puan alan iki kritik güvenlik açığı bulunuyor. Açıklardan biri Linux’un SMB Direct bileşenini, diğeri çekirdeğin SMB sunucusu uygulaması KSMBD’yi etkiliyor. Belirli koşullar oluştuğunda iki açığın da uzaktan kod çalıştırma imkânı verebileceği belirtiliyor.
Diğer raporlar, ağ kodu ile VMware grafik sürücüsündeki hataların yerel ayrıcalık yükseltme saldırılarında kullanılabileceğine işaret ediyor. Ayrıca NVMe hedef kodunu etkileyen ve hassas bilgilerin açığa çıkmasına neden olabilecek bir sorun da bildirilen açıklar arasında.
Yamaların tamamı ana sürüme alınmadı
Güvenlik sorunlarının bazıları için düzeltmeler hazırlanmış, bazı yamalar içinse test süreci başlatılmış durumda. Ancak düzeltmelerin tümü Linux çekirdeğinin ana sürümüne henüz eklenmedi. Bu nedenle bildirilen açıkların tamamı için çözüm uygulanmış değil.
Son günlerde başka kritik güvenlik sorunları da gündeme geldi
Linux çekirdeğindeki gelişme, sunucu ve internet altyapısını ilgilendiren başka güvenlik olaylarının ardından yaşandı. Kısa süre önce eMudhra ile ilişkili TLS/SSL sertifikalarının özel anahtarlarının ele geçirildiği ortaya çıkmıştı. Sekiz ara sertifikanın anahtarlarının güvenliğinin ihlal edilmesi, bazı internet sitelerinin taklit edilmesine ve şifreli bağlantıları hedefleyen saldırılara zemin hazırlayabilir.
PHP’de de acil müdahale gerektiren açıklar tespit edilmesinin ardından acil kodlu güncellemeler yayımlandı. PHP’nin web sitelerinin neredeyse yüzde 70’inde kullanıldığı belirtiliyor. Son günlerde GitLab ve HTTP/3 için de kritik güvenlik açıkları bildirilmişti.
