Безопасность, как любят говорить эксперты, — это процесс, а не продукт. Для мира Open Source это совсем неплохо, ведь любую обнаруженную брешь здесь можно закрыть очень быстро. Именно так и произошло 9 и 10 февраля. Уязвимость была обнаружена в субботу, а уже в воскресенье появилась "заплата" для всех версий ядра Linux, начиная с 2.6.17 и заканчивая последней 2.6.24.1.
Первое известие об эксплойте было опубликовано на сайте Milw0rm, посвященном проблемам безопасности. Как сообщалось, он был связан с системным вызовом ядра sys_vmsplice, который отвечает за перемещение данных из адресного пространства ОЗУ в канал к потребителю. Подобно своим побратимам splice (считывает из буфера и записывает их туда) и tee (обычно служит для отображения выходных данных программы и их пересылки в файл), этот вызов входит в группу управления обменом данными. Его главное назначение состоит в управлении виртуальной памятью. Другими словами, пользователи не имеют к нему прямого доступа.
Тем не менее после публикации кода этой бреши любой человек, способный скомпилировать собственную программу в Linux, мог без труда проникнуть на сервер с ядром Linux упомянутых выше версий, обращающихся к таким системным вызовам. В результате возникала опасность, что рядовой пользователь с доступом к оболочке сможет получить корневые привилегии суперпользователя. Наличие подобной бреши было обнаружено в ОС Debian, Fedora и Ubuntu, но вполне вероятно, что она имеется в других.
Полноценной заплаты для выявленной бреши пока нет, однако уже предложены оперативные методы защиты по меньшей мере нескольких Linux-систем. Так что разработчики ядра Linux получили время для универсального решения проблемы. Как только они подготовят свои предложения по устранению уязвимости, дистрибьюторы Linux смогут в считанные часы выпустить соответствующую программную заплату.
Пока же системный администратор может, если считает это необходимым, перекомпилировать ядро с добавленным в него кодом оперативной коррекции. Если же этого не делать, менеджерам многопользовательских систем остается только внимательно следить за своими подопечными и их журналами регистрации, где обязательно останутся следы несанкционированных изменений системного масштаба, если, конечно, кто-то из пользователей решит поиграть в хакера.
