Autor: Root.cz s využitím Duck.ai

Trend Micro Zero Day Initiative odeslal několik hlášení o zranitelnostech v linuxovém jádře do veřejné konference LKML místo do neveřejné bezpečnostní konference. Šlo zřejmě o omyl, Greg Kroah-Hartman se u každého hlášení dotazoval, proč skončilo ve veřejné konferenci. Opravy zatím nejsou v hlavní větvi, u některých chyb se ale testují nebo čekají v -next větvích.

Nejzávažnější jsou dvě chyby s CVSS 9.0: podtečení celého čísla v SMB Direct a souběh v KSMBD (samba server v jádře), obě umožňují vzdálené spuštění kódu. Oprava první z nich byla připravena pro Linux 7.5 a nyní se čeká její urychlené začlenění. Dále byly zveřejněny lokální eskalace práv v síťové funkci skb_zerocopy (stejnou chybu vývojáři obdrželi minulý týden i z jiného zdroje), v ovladači VMware grafiky vmwgfx (zápis mimo hranice pole) a přetečení zásobníku při TCP dotazu na search-domain. Poslední chyba v NVMET kódu vede k úniku informací kvůli neinicializovanému prostředku. Phoronix dodává, že s nástupem AI nástrojů počet hlášení chyb a zranitelností dál roste.

(zdroj: phoronix)