Обработка кадров HSR в ядре Linux допускает выход за границы буфера памяти

В сетевом стеке ядра Linux обнаружили уязвимость, которая позволяет удалённому нарушителю воздействовать на конфиденциальность, целостность и доступность защищаемой информации. Проблема затрагивает проверку служебных кадров протокола HSR (High-availability Seamless Redundancy, протокол бесшовного резервирования в промышленных сетях Ethernet). Уровень опасности оценивается как критический: по шкале CVSS 3.1 уязвимость набирает 9,8 из 10, а по устаревшей шкале CVSS 2.0 - максимальные 10 баллов. Официальный статус - подтверждена производителем, сведения о наличии готового эксплойта пока уточняются.

Детали уязвимости

Суть проблемы связана с обработкой данных, которые приходят из сети. Проверяющая процедура в модуле HSR сверяет длину служебного кадра со значением, указанным отправителем, и при определённых условиях выходит за границы выделенного буфера. Класс ошибки описан как доступ к буферу с неправильным значением длины. Иными словами, ядро доверяет числу, которое задаёт внешняя сторона, вместо того чтобы проверять его самостоятельно. В результате нарушитель может читать и изменять участки памяти, к которым не должен иметь доступа. Атака не требует учётных данных и не зависит от действий пользователя: достаточно отправить в сеть специально сформированный кадр. Вектор в описании уязвимости указан как сетевой, сложность эксплуатации - низкая.

Уязвимыми признаны ядра Linux веток с 5.16 по 7.0 включительно, то есть практически весь диапазон актуальных версий. Среди дистрибутивов в списке значатся Debian GNU/Linux 12 и 13, Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS, а также Red Hat Enterprise Linux 9 и 10. Речь идёт о серверных и промышленных установках, которые часто работают годами без обновления ядра. Протокол HSR применяют в основном в сетях промышленной автоматизации, на подстанциях и в транспортной инфраструктуре, где резервирование каналов связи критично для бесперебойной работы. Поскольку такие сети всё чаще строят на стандартном Linux-стеке, обычная сетевая карта и настроенный интерфейс HSR превращают уязвимость в реальный риск для технологических процессов, а не только для офисной инфраструктуры.

Отдельного внимания заслуживает сочетание сетевого вектора с отсутствием требований к аутентификации. На практике это означает, что нарушителю не нужен доступ к самой системе: он может находиться в том же сегменте сети или иметь возможность отправлять туда трафик. Поэтому масштаб последствий зависит от архитектуры сети: если сегменты с HSR изолированы и недоступны извне, вероятность эксплуатации снижается; если же интерфейсы видны из смежных подсетей, риск возрастает. Пока нет сообщений о том, что уязвимость уже используют в реальных атаках. Тем не менее, публичное раскрытие технических деталей обычно сокращает время до появления рабочих эксплойтов - от нескольких дней до нескольких недель.

Исправления уже подготовлены. Разработчики ядра Linux внесли изменения в код обработки кадров HSR, и патчи распространяются по стабильным веткам. Обновления доступны в трекерах безопасности Debian, Red Hat и Ubuntu, поэтому администраторам стоит проверить наличие свежих пакетов ядра для своей версии дистрибутива. Установка нового ядра требует перезагрузки, поскольку исправление затрагивает работающее ядро в памяти; отложенный перезапуск оставляет систему уязвимой. Идентификатор уязвимости в международной базе - CVE-2026-64000, в Банке данных угроз безопасности информации ФСТЭК России - BDU:2026-14271. Для организаций, которые не могут обновиться быстро, разумной мерой остаётся ограничение сетевого доступа к интерфейсам, поддерживающим HSR, вплоть до полной изоляции промышленного сегмента. Дополнительно ФСТЭК России рекомендует придерживаться методического документа по безопасной настройке операционных систем Linux, утверждённого 25 декабря 2022 года: он описывает базовые правила сегментирования, фильтрации трафика и минимизации сетевых сервисов.

История с HSR продолжает линию последних лет: значительная часть проблем в ядре Linux связана с сетевыми подсистемами, которые разбирают данные из внешней среды. Такие уязвимости опасны тем, что находятся на периметре, куда попадает необработанный трафик, и потому не требуют предварительного доступа к машине. Для инфраструктуры с длительным циклом обновления это означает необходимость держать отдельный регламент для сетевого оборудования и промышленных узлов, а не полагаться на общий график установки патчей. Владельцам систем на затронутых ветках ядра имеет смысл поставить исправление в приоритет первой очереди и проверить, не осталось ли в сети узлов, где обновление отложено из-за совместимости с прикладным программным обеспечением.

Детали уязвимости

Ссылки