Сбой потока управления и чтение за границами буфера в ядре Linux открывают путь удалённым атакам

Две уязвимости ядра Linux получили критический уровень опасности по классификации Банка данных угроз безопасности информации (BDU). Первая связана с некорректным потоком управления в подсистеме IPsec, вторая с чтением за границами буфера в транспорте удалённых вызовов процедур поверх RDMA. Обе дают злоумышленнику, действующему по сети, возможность влиять на конфиденциальность, целостность и доступность защищаемых данных. Затронуты Debian GNU/Linux, Ubuntu, РЕД ОС и Red Hat Enterprise Linux, причём в ряде случаев речь идёт о давно поддерживаемых ветках.

Две уязвимости ядра Linux и затронутые дистрибутивы

Оценка обеих проблем по CVSS 3.1 составляет 9,8, по CVSS 2.0 достигает максимальных 10 баллов. Атака не требует учётной записи и не зависит от действий пользователя: достаточно отправить по сети специально подготовленные данные. Статус обеих уязвимостей подтверждён производителями, исправления внесены. Сведения об эксплуатации в реальных атаках пока уточняются, публичных эксплойтов на момент публикации бюллетеня не описано.

Сбой потока управления в подсистеме IPsec

Первый случай описан под идентификаторами BDU:2026-16927 и CVE-2026-72451. Проблема кроется в коде, который обслуживает входящие пакеты IPsec, набора протоколов для шифрования трафика на сетевом уровне. Ветвление логики при поиске состояния защищённого соединения работает некорректно, и программа может выйти за пределы ожидаемого сценария обработки. Формально это относят к недостаточному управлению потоком выполнения, когда код перестаёт соблюдать задуманную последовательность шагов.

Практический смысл прост. Код, работающий с сетевыми пакетами, получает данные от внешнего узла и на их основе выбирает дальнейшие действия. Если выбор происходит неправильно, злоумышленник подталкивает систему к нештатному поведению. Последствия могут касаться как доступности сервиса, так и состояния внутренних структур ядра. Эксплуатация возможна удалённо, без предварительного доступа к машине. Уязвимы ветки ядра Linux с 6.12.13 по 7.1.5, а также дистрибутивы на их основе.

Чтение за границами буфера в RPC через RDMA

Вторая уязвимость получила номера BDU:2026-17207 и CVE-2026-72466. Она затрагивает транспорт RDMA, технологию прямого доступа к памяти удалённого узла, при которой сетевые адаптеры обмениваются данными без постоянного участия процессора. В этом транспорте ядро обрабатывает служебные сообщения удалённых вызовов процедур. Проверка границ буфера при разборе таких сообщений выполняется неверно, поэтому чтение захватывает область памяти за пределами выделенного фрагмента.

Что это даёт атакующему. За пределами буфера лежат чужие данные: служебные структуры, содержимое соседних участков памяти. При удачном раскладе злоумышленник получает возможность читать то, что видеть не должен, а в ряде сценариев влиять на ход обработки. Класс ошибки относится к чтению за границами буфера, одной из самых распространённых категорий уязвимостей в системном коде. Здесь она тоже эксплуатируется по сети.

Охват шире, чем у первой проблемы. Уязвимость затрагивает ядро Linux начиная с ветки 4.14 и до 7.1.5, то есть практически весь парк поддерживаемых версий. В список затронутых продуктов входят Red Hat Enterprise Linux 7, 8, 9 и 10, Debian GNU/Linux с 9 по 13, Ubuntu от 16.04 LTS до 26.04 LTS, а также РЕД ОС 7.3 и 8.0. Для организаций с длинным жизненным циклом инфраструктуры это означает необходимость проверить даже те системы, которые годами не переустанавливались.

Почему это важно для инфраструктуры

Ядро занимает положение, при котором ошибка в сетевой подсистеме перестаёт быть локальной. Сбой в обработке пакетов затрагивает всё, что работает на машине: файловые сервисы, контейнеры, виртуальные машины, сетевые шлюзы. Уязвимость в транспорте RDMA дополнительно интересна тем, что такие интерфейсы часто включены на серверах хранения данных и вычислительных кластерах. Администраторы нередко считают внутреннюю сеть доверенной и не фильтруют трафик между узлами. Для удалённой атаки без аутентификации этого достаточно.

Отдельного упоминания заслуживает состав затронутых дистрибутивов. Здесь и зарубежные сборки с многолетней поддержкой, и российская РЕД ОС, применяемая в корпоративном и государственном сегменте. Даты выявления разные: 4 июня для проблемы с RDMA и 12 июня для проблемы с IPsec. Обе подтверждены производителями, обе закрыты патчами.

Обновления для Debian, Ubuntu, РЕД ОС и Red Hat

Исправления вошли в стабильные ветки ядра Linux. Дистрибутивы распространяют их через штатные репозитории. Владельцам РЕД ОС 7.3 и 8.0 адресованы обновления из репозиториев проекта, для Debian актуальные пакеты доступны по трекеру безопасности, включая ветки расширенной поддержки, а для Ubuntu по обычным каналам обновлений. Пользователям Red Hat Enterprise Linux стоит смотреть бюллетени вендора по идентификатору уязвимости.

Практические шаги выглядят привычно, но требуют дисциплины. Ядро обновляют пакетным менеджером дистрибутива, после чего перезагружают систему: без перезагрузки новая версия не начнёт работать. В кластерах и на серверах виртуализации обновление проводят поочерёдно, чтобы не останавливать сервисы целиком. Отдельно проверяют узлы, где включён IPsec: там исправление особенно значимо, поскольку атака приходит из сети. Для RDMA разумно убедиться, что соответствующие интерфейсы не доступны из недоверенных сегментов, а если технология не используется, её модули отключают.

Обе истории показывают устойчивую закономерность. Сетевые подсистемы ядра остаются местом, где ошибки обходятся дорого: удалённая эксплуатация без пароля и без участия пользователя, максимальные оценки по шкале опасности и широкий список дистрибутивов. Наличие исправлений снижает риск, но только для тех, кто их установил. Данных о реальных атаках пока нет, и это лучший момент, чтобы закрыть обе уязвимости.