ליבת לינוקס מקצה חוצץ לתשובות שמגיעות מהתקני קלט, ועד התיקון הזה היא לא איפסה אותו לפני שהשתמשה בו. התוצאה, לפי הרשומה, היא שתשובה בנויה במיוחד יכולה להשתמש בחוצץ הזה כדי להוציא מידע מזיכרון הליבה. הציון הוא 5.5 מתוך 10, נמוך ביחס למה שרואים בקטלוג החולשות המנוצלות, והחולשה בכל זאת שם.
מה החולשה?
כשתוכנה מבקשת אזור זיכרון, היא מקבלת אזור שכבר שימש קודם משהו אחר. זיכרון אינו נמחק בין שימוש לשימוש, הוא רק מסומן כפנוי, ולכן השאריות של מי שהיה שם לפניה עדיין נמצאות באזור. תוכנה שממלאת את כל האזור לפני שהיא מעבירה אותו הלאה בסדר. תוכנה שממלאת רק חלק ממנו ומעבירה את כולו, מעבירה גם את מה שלא היה שלה.
זה מה שקרה כאן. הרכיב בליבה שמטפל בהתקני HID, כלומר מקלדות, עכברים ובקרים שמדברים בפרוטוקול הזה, הקצה חוצץ לתשובות שמגיעות מההתקן. הרשומה מציינת שהחוצץ הזה משמש דרייברים רבים בדרכים שונות, ושתשובה בנויה במיוחד יכולה להשתמש בו כדי להדליף זיכרון של הליבה. מה שנשאר בחוצץ ולא נדרס הוא מה שיוצא. לסוג הבאג הזה קוראים שימוש במשאב שלא אופס, והרשומה מסמנת אותו כ-CWE-908. התיקון עצמו פשוט: לאפס את החוצץ כבר ברגע ההקצאה.
הדירוג מסביר גם למה הציון אינו גבוה יותר. כדי להשתמש בחולשה צריך גישה מקומית למערכת והרשאות בסיסיות, לא בקשה מהרשת. ומה שהיא נותנת הוא קריאה בלבד: הדירוג מסמן פגיעה גבוהה בסודיות ואפס פגיעה בשלמות ובזמינות, כלומר אי אפשר לשנות דבר דרכה.
ומה שנקרא הוא זיכרון של הליבה. שם מונחים בין השאר נתונים של תהליכים אחרים ופרטים על הסידור הפנימי של המערכת.
מי מושפע?
הרשומה מונה שורה של טווחי גרסאות בליבת לינוקס, ובכל טווח הגרסה שבסופו היא זו שכבר מכילה את התיקון: מ-3.12 עד 4.19.324, מ-4.20 עד 5.4.286, מ-5.5 עד 5.10.230, מ-5.11 עד 5.15.172, מ-5.16 עד 6.1.117, מ-6.2 עד 6.6.61, מ-6.7 עד 6.11.8, וגם גרסה 6.12.
מעבר לליבה עצמה הרשומה מסמנת גם אנדרואיד, את Debian 11, את SINEC OS בגרסאות שלפני 3.2, וכמה דגמי ציוד תעשייתי של Siemens, בהם RUGGEDCOM RST2428P ו-SCALANCE XC316-8.
בישראל זה נוגע לשני עולמות שונים לגמרי. אנדרואיד מותקן על חלק גדול מהטלפונים בארץ, ולשם התיקון מגיע דרך עדכון האבטחה של יצרן הטלפון ולא מהליבה ישירות. במקביל, מי שמריץ שרתי לינוקס או ציוד מהרשימה התעשייתית מקבל אותו דרך ההפצה או היצרן. בשני המקרים לא נדרשת כאן פעולה מיוחדת מעבר לעדכון עצמו.
האם מנוצלת בפועל?
כן. ב-4 במרץ 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, ומועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 25 במרץ 2025.
הקטלוג אומר שנוצלה, ולא איך. שווה בכל זאת לשים לב לפרופיל: חולשה שדורשת גישה מקומית ומאפשרת רק לקרוא זיכרון אינה מתקפה שלמה בפני עצמה, ובכל זאת מצאה את דרכה לרשימה.
מה עושים?
בדקו איזו גרסת ליבה רצה אצלכם בפקודה uname -r, והשוו אותה לטווחים שלמעלה. בענף 6.6, למשל, גרסה 6.6.61 ומעלה כבר מתוקנת, ובענף 6.1 זו 6.1.117 ומעלה. אותו הגיון בכל אחד משאר הענפים.
אם אתם על הפצה מתוחזקת, אין צורך לקמפל ליבה. העדכון מגיע דרך מנהל החבילות, וב-Debian 11 זו חבילת הליבה מהמאגר של ההפצה. אחרי ההתקנה צריך אתחול, אחרת הליבה הישנה נשארת זו שרצה.
בטלפון אנדרואיד הצעד הוא התקנת עדכון האבטחה שיצרן המכשיר משחרר, דרך ההגדרות ואז עדכוני מערכת. מי שמריץ ציוד Siemens מהרשימה צריך את SINEC OS בגרסה 3.2 ומעלה.
הקומיטים שמכילים את התיקון פתוחים לצפייה בעץ הליבה, למי שרוצה לראות בדיוק מה שונה.