Un errore di comunicazione rischia di trasformarsi in un incubo per la sicurezza di Linux. Trend Micro ha inviato accidentalmente alla mailing list pubblica del kernel cinque segnalazioni di vulnerabilità: un leak che espone i dettagli tecnici di falle ancora non corrette. A dare la notizia è stata la stessa comunità di sviluppatori, che non ha tardato a manifestare tutto il proprio disappunto per la leggerezza dell'accaduto.
KSMBD sotto i riflettori
Il caso più scottante riguarda due vulnerabilità che colpiscono KSMBD, il server SMB implementato nello spazio kernel. Entrambe hanno un punteggio CVSS di 9.0, che equivale a un livello di criticità "critico", e potrebbero consentire a un attaccante di eseguire codice da remoto. Al momento non esiste alcuna patch in mainline né un identificativo CVE assegnato, il che rende la divulgazione ancora più pericolosa: chiunque abbia accesso alla lista può studiare i dettagli e provare a sfruttarli prima che i fix siano disponibili.
La protesta dei manutentori
La reazione dei manutentori del kernel è stata immediata e dura. Esporre pubblicamente vulnerabilità non corrette viola le regole non scritte della divulgazione responsabile, mettendo a rischio milioni di sistemi in tutto il mondo. Gli sviluppatori hanno sottolineato che, in assenza di una patch, l'unica contromisura è la disabilitazione del modulo KSMBD, una soluzione tutt'altro che indolore per chi lo utilizza in produzione.
L'episodio riaccende il dibattito sulle procedure di segnalazione: anche un colosso della sicurezza come Trend Micro può sbagliare, ma l'impatto ricade sull'intera community. Resta ora da capire quando arriveranno i fix e se verrà assegnato un CVE, mentre gli amministratori di sistema sono chiamati a valutare l'esposizione dei propri server.
