Ovpn и криптодрайверы ядра Linux открывают путь к удалённому отказу в обслуживании и утечке информации

Три уязвимости в ядре Linux позволяют злоумышленнику действовать по сети. Одна ошибка в компоненте ovpn даёт вызвать отказ в обслуживании, две другие в драйверах криптоускорителей Cavium и Marvell влияют на конфиденциальность, целостность и доступность данных. Для ovpn-уязвимости эксплойт уже выложен в открытый доступ. Две драйверные ошибки получили максимальные 10 баллов по шкале CVSS 3.1. Уязвимыми числятся сборки ядра в Ubuntu, Debian и РЕД ОС.

Три уязвимости ядра Linux с удалённой эксплуатацией

Ovpn и обращение к освобождённой памяти

Компонент ovpn переносит обработку трафика OpenVPN в ядро, и список уязвимых версий начинается с ветки 6.16 - там он и появился. Ошибка кроется в коде, который принимает параметры пира через служебный интерфейс ядра. Программа обращается к участку памяти, уже отданному системе. Ядро теряет устойчивость и падает. Учётная запись не нужна, особые условия тоже: в векторе CVSS 3.1 значатся сетевой доступ, низкая сложность и отсутствие привилегий. Итоговая оценка - 9,8.

Публичный эксплойт повышает риск. Вместе с ним выложили набор патчей, переносящих исправление на более старые ветки. Уязвимые версии: с 6.16.0 по 6.18.45, с 7.1.0 по 7.1.9 и ветки вплоть до 7.2. Уязвимость получила идентификаторы BDU:2026-16242 и CVE-2026-74727.

Cavium CPT и исчерпание ресурсов

Драйвер Cavium CPT обслуживает криптографический ускоритель, который разгружает шифрование. Ошибка CWE-664 описывает слабый контроль ресурса в период его существования: объект освобождается или переиспользуется не вовремя, и код теряет над ним контроль. В карточке уязвимости способ эксплуатации обозначен как исчерпание ресурсов. В описании указано воздействие на конфиденциальность, целостность и доступность защищаемой информации, причём действовать злоумышленник может удалённо и без учётной записи. CVSS 3.1 - 10 из 10.

Уязвимы ядра Linux с 4.11 по 7.1.5, а также Ubuntu 16.04, 18.04, 20.04, 22.04, 24.04 и 26.04 LTS, Debian с 9 по 13, РЕД ОС 7.3 и 8.0. Идентификаторы - BDU:2026-16633 и CVE-2026-74279. Сведений о готовом эксплойте нет: в карточке стоит пометка "данные уточняются".

Marvell OcteonTX и подмена при взаимодействии

Второй драйвер, marvell/octeontx, решает ту же задачу для ускорителей Marvell OcteonTX. Ошибка относится к типу CWE-706, использование имени с неправильной ссылкой. Проще говоря, код находит объект по имени, которое указывает не туда, и подставляет чужой ресурс. Способ эксплуатации в карточке - подмена при взаимодействии. Оценка снова 10 по CVSS 3.1, воздействие такое же: конфиденциальность, целостность и доступность.

Нижняя граница диапазона здесь выше - ветка 5.7, верхняя та же, 7.1.5. Из дистрибутивов названы Ubuntu с 20.04 по 26.04 LTS, Debian с 9 по 13, РЕД ОС 7.3 и 8.0. Сведения об эксплойте уточняются. Идентификаторы - BDU:2026-16634 и CVE-2026-74280.

Обновления ядра и действия администратора

Все три уязвимости закрыты в основной ветке ядра, исправления разошлись по стабильным веткам. Для Debian и Ubuntu координаты патчей собраны в трекерах безопасности, для РЕД ОС пакеты обновлений лежат в репозиториях проекта. Записей об эксплуатации в реальных атаках на момент публикации карточек нет, но готовый эксплойт для ovpn меняет расстановку сил.

Обновить ядро до версии, где ошибки закрыты, - первое действие для администратора. В Debian и Ubuntu помогает штатное обновление пакетов после того, как исправление появилось в трекере безопасности. В РЕД ОС подключают репозитории обновлений для нужной архитектуры. Если установить патч нельзя, остаются рекомендации ФСТЭК России по безопасной настройке Linux, утверждённые 25 декабря 2022 года. Ядро меняется только после перезагрузки, так что обновление без неё задачу не решает.

Что стоит за этими ошибками

Ядро остаётся самой обширной зоной риска в Linux. Код здесь работает с наивысшими привилегиями, поэтому сбой в одном обработчике затрагивает всю систему, а не отдельный процесс. Две драйверные ошибки касаются криптоускорителей - оборудования, которое встречается в серверах и сетевых устройствах, но не на каждом ноутбуке. Ovpn-уязвимость ближе к массовой инфраструктуре: OpenVPN популярен у небольших компаний и частных пользователей.

Скорость, с которой появился рабочий эксплойт, показательна. Окно между публикацией исправления и первыми попытками эксплуатации сжимается, и патчи для ядра перестали быть формальностью. Для парка серверов с OpenVPN и для инфраструктуры на AlmaLinux, Debian и Ubuntu откладывать обновление теперь дороже, чем проверить список установленных ядер.