ลิสต์ช่องโหว่ Linux kernel หลุดสู่สาธารณะ แนะผู้ใช้ SteamOS และดิสโทรต่าง ๆ เช็กอัปเดตสายเบตา

รายงานนี้พูดถึงเหตุผิดพลาดด้านความปลอดภัยที่ทำให้รายการช่องโหว่ของ Linux kernel ซึ่งยังไม่ได้รับแพตช์ ถูกส่งไปยังเมลลิงลิสต์สาธารณะโดยไม่ตั้งใจ แทนที่จะอยู่ในช่องทางสื่อสารแบบปิดสำหรับทีมที่เกี่ยวข้องกับการแก้ไขบั๊ก ช่องโหว่ที่หลุดออกมาหลายรายการมีความรุนแรงสูง โดยบางตัวได้คะแนน CVSS ถึง 9.0 ซึ่งหมายถึงความเสี่ยงระดับร้ายแรงต่อระบบที่ยังไม่ได้อัปเดต

แหล่งข่าวอ้างอิงการรายงานของ Phoronix ซึ่งระบุว่ารายชื่อบั๊กดังกล่าวน่าจะมาจากโครงการรับแจ้งช่องโหว่ของ Trend Micro ZDI และถูกเผยแพร่ออกไปโดยผิดพลาด เหตุการณ์นี้ทำให้ Greg Kroah-Hartman ผู้ดูแลสาย stable ของ Linux kernel ออกมาตอบกลับผู้ส่งรายงานแต่ละรายการ พร้อมเตือนให้แก้ขั้นตอนการส่งข้อมูลให้ถูกต้อง เพราะการเปิดเผยรายละเอียดโดยที่แพตช์ยังไม่พร้อมอาจเพิ่มโอกาสให้ผู้ไม่หวังดีนำไปโจมตีได้

ช่องโหว่ที่ถูกเปิดเผยมีหลายประเภท ตั้งแต่บั๊กที่อาจนำไปสู่การรันโค้ดจากระยะไกลในส่วน SMB Direct และ KSMBD ไปจนถึงปัญหาที่ทำให้ยกระดับสิทธิ์ในเครื่องได้จากโค้ดเครือข่ายหรือไดรเวอร์กราฟิกของ VMware นอกจากนี้ยังมีกรณีที่อาจทำให้ข้อมูลรั่วไหลในส่วน NVMET และช่องโหว่ buffer overflow ในการประมวลผล query ของโดเมนเครือข่าย ซึ่งทั้งหมดสะท้อนว่าปัญหาครอบคลุมทั้งคอมโพเนนต์ระดับเครือข่าย สตอเรจ และไดรเวอร์

แม้ข่าวร้ายคือช่องโหว่เหล่านี้ยังไม่ถูกแพตช์ใน mainline kernel แต่รายงานระบุว่าบางรายการอยู่ระหว่างทดสอบหรือถูกเตรียมไว้ในสาขา beta หรือ -next แล้ว จึงมีโอกาสที่ดิสโทรบางตัวจะมีแพตช์พร้อมให้ใช้งานก่อน หากผู้ใช้เลือกอัปเดตผ่านช่องทางทดลองหรือสาขาเบตา ซึ่งมักได้รับโค้ดแก้ไขก่อนเวอร์ชันเสถียร

สำหรับผู้ใช้เดสก์ท็อป Linux, SteamOS หรือดิสโทรที่อัปเดตตามเคอร์เนลรุ่นล่าสุด ข่าวนี้จึงเป็นสัญญาณให้ตรวจสอบรอบอัปเดตความปลอดภัยอย่างจริงจัง โดยเฉพาะในเครื่องที่ใช้งานอินเทอร์เน็ตหรือบริการเครือข่ายเป็นประจำ สรุปแล้วเหตุการณ์นี้ไม่ใช่แค่ปัญหาขั้นตอนการสื่อสารภายในวงการพัฒนา แต่ยังเป็นการเตือนว่าช่องโหว่ระดับรุนแรงสามารถกลายเป็นความเสี่ยงจริงได้ทันทีหากถูกเปิดเผยก่อนที่แพตช์จะพร้อมใช้งาน