Четыре уязвимости ядра Linux с оценкой 9,8 из 10 позволяют удалённо вызвать отказ в обслуживании

В Банке данных угроз безопасности информации ФСТЭК России появились четыре записи об уязвимостях ядра Linux: BDU:2026-18417, BDU:2026-18415, BDU:2026-18374 и BDU:2026-18362. Все они, по оценке ведомства, позволяют удалённому атакующему вызвать отказ в обслуживании, получили CVSS 3.1 9,8 и подтверждены производителем. Затронуты серверы и рабочие станции на ветках ядра от 5.10 до 7.1, включая Debian GNU/Linux, Ubuntu, Astra Linux Special Edition и Red Hat Enterprise Linux, поэтому обновлять нужно весь парк Linux, а не отдельные машины.

Что общего у четырёх записей

Формально записи роднит немногое: последствие в виде отказа в обслуживании, удалённый вектор и подтверждение производителя. Природа ошибок разная, и от неё зависит, где именно искать уязвимые системы. Две записи связаны с разбором образов NTFS, ещё две - с обработкой структур данных в ядре.

Ошибки при работе с NTFS

BDU:2026-18417 (CVE-2026-72194) описывает бесконечный цикл, CWE-835. Специально созданное изображение файловой системы NTFS приводит к зацикливанию обработки: код не выходит из цикла, и задача, которая разбирает образ, не завершается. Для хоста это означает зависание обработки и недоступность функции, которая с этим образом работает.

BDU:2026-18415 (CVE-2026-72192) - переполнение буфера при копировании без проверки размера, CWE-120. Данные копируются в буфер без сверки длины с его фактическим размером. При специально сформированном образе NTFS запись выходит за границы буфера. Переполнение буфера традиционно считают более опасным классом, чем зависание, но в записи последствие ограничено отказом в обслуживании.

Ошибки расчёта размера и времени жизни объекта

BDU:2026-18374 (CVE-2026-68388) - неверное вычисление размера буфера, CWE-131. Размер определяется ошибочно, и дальнейшие операции с буфером идут уже с неправильными границами. Ошибка тихая: она не проявляется до тех пор, пока входные данные не разойдутся с ожиданиями кода.

BDU:2026-18362 (CVE-2026-68302) - разыменование указателя с истекшим сроком действия, CWE-825. Так называют ситуацию, когда память уже освобождена, но программа продолжает обращаться к ней по старому указателю. Поведение такой конструкции зависит от состояния памяти в конкретный момент. Для обеих записей в БДУ указано, что эксплуатация связана с манипулированием внутренними структурами данных.

Условия атаки

Оценка 9,8 из 10 обычно соответствует вектору, где атака идёт по сети, не требует учётных данных и не зависит от действий пользователя. Иными словами, для срабатывания не нужен локальный вход в систему и не нужно убеждать сотрудника открыть файл. Однако путь к уязвимому коду всё равно должен существовать.

Для двух записей по NTFS такой путь - монтирование недоверенного образа. Это может быть файловый сервер, который принимает образы от пользователей, служба, автоматически подключающая внешние тома, или хост, где съёмные носители монтируются без участия администратора. Чем короче цепочка от внешнего источника до разбора образа, тем выше риск.

Для двух других записей ключевым остаётся сетевой доступ к компоненту, который работает со структурами данных ядра. Здесь приоритет - сервисы, слушающие сеть и обрабатывающие внешние запросы.

Затронутые версии

В БДУ перечислены ветки ядра: 5.10, 5.13-5.15, 5.16-6.1, 6.2-6.6, 6.7-6.12 и 6.13-7.1. Диапазоны не сплошные, и для каждой записи набор свой. Поэтому сверяться нужно с конкретной записью и с трекером дистрибутива, а не с общим перечнем по всем четырём уязвимостям.

Дистрибутивы в перечне: Debian GNU/Linux 9-13, Ubuntu 20.04, 22.04, 24.04 и 26.04 LTS, Astra Linux Special Edition 1.7, Red Hat Enterprise Linux 8, 9 и 10. Отдельно стоит проверить инфраструктуру, где ядро не обновлялось годами: длительные циклы поддержки как раз и накапливают такие диапазоны.

Важный нюанс - контейнеры. Они используют ядро хоста, поэтому обновление внутри контейнера ничего не меняет. Патчить нужно хост, а в виртуальных машинах - гостевую систему.

Что исправляет патч

Исправления уже вышли. Для Debian и Ubuntu в БДУ указаны трекеры CVE, по которым видно состояние пакетов в каждой ветке. Astra Linux выпустила обновления пакетов linux-6.1 и linux-5.15. Для Red Hat Enterprise Linux выпущено соответствующее обновление ядра. В записях приведены коммиты ядра Linux с исправлениями.

Порядок действий простой. Обновите пакеты ядра, перезагрузитесь и убедитесь, что загрузилось именно новое ядро. Проверка через uname -r показывает фактически работающую версию, а не установленную. Если на хосте несколько установленных ядер, проверьте, что загрузчик по умолчанию выбирает исправленное.

Отдельно проверьте файловые серверы и системы, которые монтируют внешние NTFS-образы. Для них окно между установкой пакета и перезагрузкой остаётся опасным: код в памяти всё ещё старый.

Если обновиться нельзя

Первое ограничение касается NTFS: запретите монтирование недоверенных образов и закройте доступ к этой операции из сетевых сервисов. Проверьте, не включено ли автоматическое подключение съёмных носителей, и уберите такие правила там, где они не нужны.

Второе ограничение - сетевой доступ. Сузьте круг систем, которые могут обращаться к службам, работающим с разбираемыми структурами данных. Это не устраняет ошибку, но сокращает число потенциальных источников вредоносных входных данных.

Третье - изоляция. Хосты, которые разбирают внешние образы, стоит держать отдельно от критичных систем, чтобы отказ в обслуживании не затронул смежные сервисы. Для ядра это особенно важно: сбой в одном компоненте отражается на всей машине.

В первую очередь обновляйте файловые серверы, хосты с автоматическим монтированием внешних томов и системы, доступные из сети. Именно они сочетают сетевой путь атаки с разбором недоверенных данных.