Чтение за границами буфера в драйвере qede и сбой в batman-adv открывают путь к удалённой атаке на ядро Linux

Две уязвимости в ядре Linux получили в Банке данных угроз безопасности информации (BDU) критический уровень опасности. Обе оцениваются в 9,8 балла по CVSS 3.1 и обе, по описанию производителя, дают удалённому злоумышленнику влиять на конфиденциальность, целостность и доступность защищаемых данных. Одна ошибка кроется в подсистеме batman-adv, которая строит ячеистые сети; вторая в драйвере qede для сетевых адаптеров QLogic. Затронуты Debian, Ubuntu, Red Hat Enterprise Linux и РЕД ОС, а также несколько веток самого ядра.

Уязвимости ядра Linux в batman-adv и драйвере qede

Модуль batman-adv превращает группу машин в ячеистую сеть, где узлы пересылают трафик друг друга без отдельной точки доступа. Уязвимость BDU:2026-16817 (CVE-2026-80600) связана с обработкой ответов DHCP (протокол выдачи сетевых настроек) при работе распределённой таблицы ARP (механизм сопоставления IP- и MAC-адресов между узлами). Функция, которая разбирает такой ответ, теряет контроль над порядком выполнения операций.

Тип ошибки производитель описывает как недостаточное управление потоком (CWE-691). Логика обработки пакета уводит выполнение в сторону от той ветки, которую закладывал разработчик. Злоумышленнику достаточно отправить специально сформированный сетевой пакет. Ни пароль, ни действия пользователя не нужны: в векторе CVSS напротив соответствующих параметров стоят нули.

Последствия шире, чем отказ одного узла связи. По данным BDU, атакующий способен повлиять на все три свойства защищаемой информации сразу: скрыть часть данных, изменить их или нарушить работу сервиса. Случаев эксплуатации пока не зафиксировано, наличие эксплойта в карточке указано как "данные уточняются". Производитель проблему подтвердил.

Сбой в обработке входящих пакетов

Вторая уязвимость, BDU:2026-16821 (CVE-2026-80609), относится к драйверу qede, который обслуживает сетевые адаптеры QLogic. Ошибка возникает при обработке входящего трафика: операция выходит за границы выделенного буфера. Проще говоря, программа читает участок памяти, который ей не принадлежит.

Класс ошибки в бюллетене обозначен как чтение за границами буфера (CWE-125). Такие сбои нередко заканчиваются утечкой содержимого памяти либо аварийным завершением ядра. Здесь речь снова идёт о влиянии на конфиденциальность, целостность и доступность: злоумышленник действует удалённо, через сеть, без учётных данных. Оценка по CVSS 3.1 та же, 9,8 балла; по устаревшей методике CVSS 2.0 обе проблемы получают максимум в 10 баллов. Проблему выявили 23 июня 2026 года, первый сбой датирован 28 июня.

Кого касается обновление

Список затронутых систем широк и почти совпадает у обеих уязвимостей. Это Debian GNU/Linux с 9 по 13, Ubuntu от 18.04 до 26.04 LTS, РЕД ОС 7.3 и 8.0, а также ветки ядра Linux начиная с 5.1 и заканчивая 7.1.5. Проблема с драйвером qede дополнительно затрагивает Red Hat Enterprise Linux 8 и 10.

Практическая сторона важнее формального перечня. Ячеистые сети на базе batman-adv встречаются в промышленных и офисных сегментах, где узлы связываются напрямую. Адаптеры QLogic ставят в серверы и системы хранения, поэтому второй сбой актуален прежде всего для инфраструктуры, а не для домашних машин. В обоих случаях уязвимость затрагивает уровень ядра, то есть последствия не ограничиваются одним приложением.

Исправления вошли в стабильные ветки ядра и разошлись по дистрибутивам. Обновлённые пакеты лежат в репозиториях РЕД ОС, а трекеры безопасности Debian, Ubuntu и Red Hat содержат отметки о закрытии обеих проблем.

Что делать администраторам

Сверьте версию ядра с диапазонами из бюллетеня. Если она попадает в один из них, обновите пакет ядра штатными средствами дистрибутива и перезагрузите систему, иначе исправленный код не начнёт работать. Для РЕД ОС обновления доступны в репозиториях версий 7.3 и 8.0, включая сборки для архитектуры aarch64. Для Debian и Ubuntu ориентируйтесь на записи CVE-2026-80600 и CVE-2026-80609 в трекерах проекта: там указано, в какой версии пакета закрыта каждая проблема. Виртуальные машины и контейнеры наследуют уязвимость от хоста, поэтому обновлять нужно и их.

Обе уязвимости объединяет набор условий: сетевой вектор, отсутствие требований к аутентификации и полный набор возможных последствий. Такой профиль делает их удобными для массовых сканирований, даже если направленных атак пока не зафиксировано. Для администраторов единственный надёжный шаг остаётся прежним: держать ядро в актуальном состоянии и не откладывать перезагрузку после установки.

Уязвимости ядра Linux в batman-adv и драйвере qede

Сбой в обработке входящих пакетов

Кого касается обновление

Что делать администраторам

Ссылки