Des failles Linux non corrigées fuitent sur une liste publique

Une série de rapports de vulnérabilités non corrigées du noyau Linux, dont certains notés 9.0 sur l'échelle CVSS, a été publiée par erreur sur une liste de discussion publique au lieu d'une liste de sécurité privée, selon le site Phoronix, qui a révélé l'incident la veille. Les signalements semblent provenir de la Zero Day Initiative de Trend Micro, rapporte Phoronix.

Parmi les failles concernées figure ZDI-CAN-33549, une exécution de code à distance via SMB Direct provoquée par un dépassement négatif d'entier et notée CVSS 9.0. ZDI-CAN-33774, une condition de concurrence dans KSMBD pouvant également mener à une exécution de code à distance, atteint aussi 9.0.

D'autres rapports portent sur ZDI-CAN-33367, une faille du code réseau skbuff skb_zerocopy permettant une élévation locale de privilèges, ZDI-CAN-34068, une écriture hors limites dans le pilote graphique VMware VMWGFX menant à une élévation locale de privilèges, et ZDI-CAN-34076, une ressource non initialisée dans le code NVMET à l'origine d'une divulgation d'informations. ZDI-CAN-32005, un débordement de tampon de pile dans une requête TCP de domaine de recherche, permet lui aussi une élévation locale de privilèges.

Greg Kroah-Hartman, qui maintient la branche stable du noyau, a répondu à chacun des rapports en demandant que le processus de soumission soit corrigé.

Selon Phoronix, ZDI-CAN-32005 a été envoyé à la liste un jour avant les autres rapports. La semaine précédente, les développeurs du noyau avaient déjà reçu un signalement de sécurité provenant d'une autre source au sujet de la même faille skbuff que ZDI-CAN-33367. Certains correctifs concernés sont en cours de test ou en attente dans des branches bêta ou -next.