Сетевые уязвимости ядра Linux ведут к исчерпанию ресурсов в Ubuntu, Debian и РЕД ОС

Две уязвимости в ядре Linux позволяют удалённому злоумышленнику влиять на конфиденциальность, целостность и доступность защищаемых данных. Обе получили оценку 9,8 по CVSS 3.1 и критический уровень опасности в Банке данных угроз безопасности информации (BDU). Речь о BDU:2026-17311 (CVE-2026-72351) в сетевом коде GUE (общий протокол инкапсуляции пакетов поверх UDP) и BDU:2026-17313 (CVE-2026-72226) в модуле batman-adv (протокол маршрутизации для ячеистых сетей). Затронуты Ubuntu от 16.04 до 26.04 LTS, Debian с 9 по 13, РЕД ОС 7.3 и 8.0, а также основная ветка ядра от 3.13 до 7.1.5.

Уязвимости CVE-2026-72351 и CVE-2026-72226 в ядре Linux

Обе проблемы относятся к классу CWE-664, то есть к недостаточному контролю ресурса в период его существования. Формулировка звучит сухо, но суть простая. Код выделяет объект в памяти и должен освободить его строго в определённый момент. Если этот момент рассчитан неверно, объект остаётся в памяти дольше положенного или освобождается слишком рано. Первый вариант постепенно съедает доступные ресурсы, второй открывает дорогу к повреждению данных.

В BDU способ эксплуатации для обоих случаев описан одинаково - исчерпание ресурсов. Атакующему не нужны учётные данные и не требуется присутствие в системе: обе уязвимости эксплуатируются по сети. Вектор CVSS 3.1 указывает на удалённый доступ без аутентификации и без участия пользователя. Ущерб оценивается как высокий по всем трём составляющим - конфиденциальности, целостности и доступности.

Сетевой заголовок GUE

Первая уязвимость кроется в функции, которая вычисляет длину приватных флагов заголовка GUE. Этот протокол применяют для туннелирования трафика, в том числе в контейнерных средах и сетях виртуализации. Ошибка в работе с ресурсом позволяет удалённому узлу влиять на состояние сетевого стека. Дата выявления - 1 июля 2026 года, статус подтверждён производителем.

Практический эффект зависит от конфигурации. На машинах, где GUE не используется и соответствующие модули не загружены, поверхность атаки заметно меньше. Там, где через этот протокол проходит служебный или пользовательский трафик, последствия могут быть тяжелее, вплоть до отказа сетевого сервиса.

Таблица трансляции batman-adv

Вторая уязвимость связана с обработчиком одноадресных сообщений таблицы трансляции в модуле batman-adv. Этот модуль ядра обеспечивает маршрутизацию в ячеистых сетях, где узлы связываются друг с другом напрямую, без выделенной инфраструктуры. Такие сети встречаются в промышленных и городских проектах, на объектах с нестабильной связью, в экспериментальных и исследовательских стендах.

Функция обработчика неверно распоряжается ресурсом в период его существования. Удалённый участник сети может этим воспользоваться. Дата выявления - 3 июля 2026 года, статус также подтверждён производителем. Как и в первом случае, в BDU указано исчерпание ресурсов.

Кого это касается

Список затронутых систем широк: шесть выпусков Ubuntu с длительной поддержкой, пять веток Debian, два релиза РЕД ОС и само ядро Linux в диапазонах от 3.13 до 7.1.5. Для организаций это означает, что парк машин под управлением разных дистрибутивов требует отдельной проверки. Обновление одного дистрибутива не закрывает проблему на остальных. Отдельного упоминания заслуживает то, что ядро относится к базовому слою системы. Ошибка в нём затрагивает не одно приложение, а всю машину и все сервисы, которые на ней работают. Поэтому исправление ядра требует перезагрузки, а значит, планирования окна обслуживания.

Сведений о работающем эксплойте в BDU нет. Графа наличия эксплойта помечена как уточняемая, данные о реальных атаках не приводятся. Это не отменяет необходимости обновиться, но и не даёт повода для паники.

Что делать

Для ядра Linux исправления вошли в стабильные ветки, ссылки на коммиты приведены в бюллетене BDU. Пользователям Ubuntu и Debian стоит установить штатные обновления безопасности своего дистрибутива. В РЕД ОС 7.3 и 8.0 пакеты доступны в репозиториях обновлений для архитектур x86_64 и aarch64. После установки нового ядра нужна перезагрузка, иначе исправление не вступит в силу. До обновления риск снижает отказ от неиспользуемых сетевых модулей. Если GUE или batman-adv не нужны, разумно не загружать их вовсе. На периметре помогает ограничение доступа к соответствующим сетевым сервисам.

Обе уязвимости - типичный пример ошибок управления памятью, которые годами накапливаются в ядре. Их появление в списке BDU с максимальными оценками говорит о том, что аудит сетевого кода продолжает находить проблемы даже в давно работающих подсистемах. Для администраторов это повод держать обновление ядра в регулярном графике, а не вспоминать о нём после очередного бюллетеня.

Уязвимости CVE-2026-72351 и CVE-2026-72226 в ядре Linux

Сетевой заголовок GUE

Таблица трансляции batman-adv

Кого это касается

Что делать

Ссылки