Уязвимости в KVM и сетевом стеке ядра Linux позволяют выполнить код в SUSE Linux Micro 6.2

Шесть уязвимостей в ядре Linux, затрагивающих SUSE Linux Micro 6.2, закрыты в обновлении, выпущенном 30 июля 2026 года. Проблемы затрагивают подсистему виртуализации KVM (модуль ядра для управления виртуальными машинами), сетевой стек и реализацию TLS. В зависимости от сценария эксплуатации они позволяют вызвать отказ в обслуживании, повысить привилегии или выполнить произвольный код на целевой системе.

Детали уязвимостей

SUSE выпустила серию бюллетеней - с SUSE-SU-2026:22980-1 по SUSE-SU-2026:22995-1. Они соответствуют live-патчам ядра (исправлениям, которые устанавливаются без перезагрузки) с номерами от 0 до 14 для SUSE Linux Enterprise 16. Все обновления получили рейтинг important. В списке затронутых продуктов указан SUSE Linux Micro 6.2 для архитектур ppc64le, s390x и x86_64. В зависимости от версии ядра в каждом бюллетене закрыты две, пять или шесть уязвимостей.

Наиболее опасная из проблем - CVE-2026-23240. Она связана с состоянием гонки в реализации TLS, протокола шифрования сетевого трафика. При закрытии соединения обработчик отправки данных может быть поставлен в очередь уже после того, как структура соединения освобождена. В такой ситуации рабочий процесс обращается к уже удалённому объекту. Национальная база уязвимостей NVD оценила проблему в 9.8 балла по шкале CVSS (Common Vulnerability Scoring System - системе оценки критичности уязвимостей), присвоив статус Critical. Сама SUSE оценивает её ниже - 7.0 балла. Уязвимость присутствует в ядре Linux начиная с версии 5.3.

В сетевой подсистеме обнаружены ещё две уязвимости. CVE-2026-31738 связана с недостаточной проверкой длины опций в сообщениях протокола VXLAN - технологии инкапсуляции, применяемой для построения виртуальных сетей. Специально сформированный пакет может заставить анализатор опций выйти за пределы допустимой области, что приводит к повреждению памяти. Оценка SUSE - 7.0 балла, NVD - 5.5. Вторая уязвимость, CVE-2026-43038, относится к обработке служебных сообщений ICMP (протокола диагностики в IP-сетях) в IPv6. Из-за того что служебная область пакета не очищается перед использованием, часть данных ядра может быть раскрыта наружу. Здесь оценки расходятся существенно: SUSE присвоила 7.1 балла, а NVD - 9.8. Разница объясняется тем, что NVD учитывает более широкий круг сценариев, включая удалённую атаку без предварительной аутентификации.

Отдельная уязвимость CVE-2026-53366 обнаружена в реализации фрагментации IPv4-пакетов. Ошибка возникает при расчёте размера линейной области пакета при отправке данных с фрагментацией. Из-за некорректного учёта служебных байтов часть данных записывается в недостаточно большой буфер, что ведёт к повреждению памяти. SUSE оценила проблему в 9.0 балла по шкале CVSS v4.0, по версии v3.1 - в 8.5. В худшем случае атакующий может получить возможность выполнения произвольного кода с привилегиями ядра.

Две уязвимости - CVE-2026-46113 и CVE-2026-53359 - затрагивают подсистему виртуализации KVM, а именно механизм теневого пейджинга. Этот механизм используется гипервизором для управления доступом к физической памяти виртуальных машин: ядро поддерживает теневые таблицы страниц, соответствующие гостевым таблицам. Ошибка заключается в том, что при изменении гостевых таблиц страниц записи в теневой структуре перестают соответствовать вычисленным адресам. В результате ядро обращается к уже освобождённым элементам теневых таблиц. Злоумышленник, имеющий возможность выполнять код внутри виртуальной машины, может вызвать сбой гипервизора или повысить свои привилегии до уровня хоста, получив контроль над другими виртуальными машинами. Обе уязвимости получили оценку 8.8 балла по CVSS v3.1.

SUSE Linux Micro 6.2 - минималистичный дистрибутив для периферийных вычислений и виртуализации. Он часто используется в качестве хост-платформы для виртуальных машин и контейнеров на границе корпоративной сети. Поэтому проблемы в KVM представляют особый риск: компрометация гипервизора ставит под угрозу все виртуальные машины на узле. Ошибки в сетевом стеке, в свою очередь, могут эксплуатироваться из смежных виртуальных сетей или извне.

SUSE рекомендует устанавливать исправления штатными средствами - через YaST online_update или команду zypper patch. Для SUSE Linux Micro 6.2 подготовлены пакеты с live-патчами ядра, которые позволяют применить обновление без перезагрузки. Это особенно важно для инфраструктур, где простой недопустим. Номера патчей и командные строки приведены в бюллетенях.

Обновления уже доступны во всех штатных каналах распространения. Пользователям SUSE Linux Micro 6.2 рекомендуется установить их в ближайшее время. Часть уязвимостей требует локального доступа, однако другие допускают удалённую эксплуатацию, поэтому задержка с обновлением может привести к компрометации не только отдельного узла, но и всей виртуализированной инфраструктуры.

Детали уязвимостей

Ссылки