Yüksek CVSS Puanlı Linux TCP Açıklığı ve Sistem Sağlayıcılarının Tepkisi

0:00

/0

1×

Yüksek CVSS Puanlı Linux TCP Açıklığı ve Sistem Sağlayıcılarının Tepkisi

BirLinux kernelindeki 9.8 CVSS puanlı güvenlik açığı, hem sunucu hem de bulut ortamlarında çalışan sistemleri ciddi tehdit altında bırakıyor. Bu açıklık, özellikle multipath TCP (MPTCP) dinleyicisi olan sistemlerde uzaktan bir saldırganın yetkisiz erişim sağlayarak root haklarıyla komut çalıştırmasına olanak tanıyor. Bu durum, Linux kullanıcılarının dikkatini çekmektedir ve sistem sağlayıcıları, bu kritik güvenlik zafiyetine nasıl tepki verdikleri önemli bir konu haline gelmiştir.

Açıklık Ne Demektir?

Bu güvenlik açığı, CVE-2026-98432 numaralı bir kaynak olarak kaydedilmiş ve Linux kernelinin TCP bağlantısı kurulum sürecinde meydana gelen bir yarış durumuna (race condition) dayanıyor. Açıklık, yeni bir IPv4 TCP bağlantısı kurulurken, kernelin daha önce serbest bırakılmış bellek alanlarına erişmesine neden olan bir "use-after-free" (kullanılmış sonra serbest bırakılmış) hatasından kaynaklanıyor. Bu durum, sistemde kernel belleği bozulması, sistem çökmesi veya hatta uzaktan komut çalıştırılmasına kadar giden ciddi sonuçlara yol açabiliyor.

Özellikle multipath TCP (MPTCP) dinleyicisi olan sistemler, bu açıklığın hedefi olabiliyor. MPTCP, tek bir bağlantının birden fazla ağ yolu kullanmasını sağlar ve bu özellik Linux'ta bir uygulamanın bir soket açarken belirtilir. Go 1.24 ile birlikte, Go dilleriyle geliştirilen uygulamalar bu özelliği varsayılan olarak kullanmaya başlamıştır. Bu da açıklığın daha yaygın etkileşim kurabileceği bir alan yaratıyor.

Sistem Sağlayıcıları Nasıl Tepki Veriyor?

Linux'un popüler dağıtımları arasında Ubuntu, Red Hat, Amazon Linux, Oracle Linux, SUSE ve Debian yer alıyor. Ancak, bu dağıtımların açıklığa karşı verdiği cevaplar farklılık gösteriyor.

Ubuntu ve Red Hat: Aşırı Dikkat Gerektiren Durum

Ubuntu ve Red Hat Enterprise Linux (RHEL), bu güvenlik açıklığına karşı henüz bir düzeltme paketi yayınlamamış durumda. Ubuntu'nun 22.04 LTS, 24.04 LTS, 26.04 LTS ve 26.10 sürümleriyle ilgili durum "yüksek öncelikli geliştirme sürecinde" olarak belirtilmiş. Red Hat ise 30 Ekim'de sistemlerin "etkilenmiş" olduğunu açıklayarak düzeltmenin "gelecek bir güncelleme ile ertelenmiş" olduğunu bildirmiştir. Ancak bu durum, kullanıcıların güvenli bir ortamda çalışmaya devam etmelerini zorlaştırıyor.

Diğer Dağıtımlar: Düzeltmelerde İlerleme

Bununla birlikte, bazı sistem sağlayıcıları daha hızlı tepki vermiş durumda. Amazon Linux 2023, Oracle Linux ve Debian gibi dağıtımlar, düzeltme paketlerini zaten yayımlamış ve sistemleri korumaya başlamıştır. Ayrıca SUSE Linux ve SUSE Enterprise Linux'ta da düzeltmeler uygulanmış ve bazı sürümlerde testlerde tamamlanmıştır.

Özellikle Amazon Linux 2023, 24 Ekim'de kernel6.18 paketinde düzeltme yayınlamış, 29 Ekim'de ise kernel6.12 için de güvenlik güncellemesi yayımlanmıştır. Bu durum, Amazon'un güvenliği hızlı bir şekilde ele aldığını göstermektedir.

CVSS Puanlarında Farklılıklar

Bu güvenlik açıklığı için CVSS (Common Vulnerability Scoring System) puanı 9.8 olarak belirlenmiştir. Ancak bu puan, sistem sağlayıcıları arasında farklılıklarla karşılaşıyor. Linux kernel ekibi 9.8 puanını, saldırganın IPv4 Record Route veya Timestamp seçenekleri içeren bir bağlantı talebi göndererek yarış kurduğu varsayımıyla vermiştir. Bu durumda, saldırganın sistemdeki kernel belleğine erişmesi, sistem çökmesi veya sistemdeki komutların çalıştırılması mümkün olabilir.

Ancak Red Hat, bu yarışın kazanılması için çok zorlu bir koşul olduğunu belirterek puanı 5.9 olarak belirlemiştir. Red Hat, bu durumda en olası sonucun sistem çökmesi olduğunu ve gizlilik ya da bütünlük etkisini göstermediğini belirtmiştir. Ancak aynı gün, Red Hat'ın makine okunabilir uyarı dosyasında puan 8.1 olarak güncellenmiş ve etki düzeyi "önemli" olarak işaretlenmiştir. Oracle ve SUSE da 8.1 puanıyla aynı değerlendirmeyi yapmışlardır.

Bu farklılıklar, güvenlik değerlendirme süreçlerinde farklı yorumlamaların yapılabileceğini göstermektedir. Kernel ekibi, saldırganın kontrolü altında olan bir ortamda yarış kurması olasılığını düşük sayarken, bazı sistem sağlayıcıları bu durumu daha ciddi algılamıştır.

Anthropic ve AI'nın Rolü

Bu güvenlik açıklığı, özellikle Anthropic tarafından yapılan bir araştırma ile daha da dikkat çekmiştir. Anthropic, kendilerinin geliştirdiği AI modeli Claude ile bu açıklığı bulmuş ve bu zafiyeti exploit (kullanım) etmişlerdir. AI'nın bu süreçte "ilk yönlendirme" ile başlayarak exploited (kullanılan) bir yazılım yazması, hem güvenlik hem de AI geliştirme alanlarında önemli bir adım olarak değerlendirilmiştir.

Anthropic, exploit'in iki aşamalı olduğunu belirtmiştir. İlk aşamada yarış sonucunda sistemden gelen hatalı veri, ikinci aşamada ise uzaktan komut çalıştırılması sağlanmıştır. Bu tür bir AI destekli güvenlik analizi, gelecekteki tehditlerin daha hızlı tespit edilmesini sağlayabileceği için hem endüstri hem de güvenlik alanlarında büyük bir ilgi uyandırmıştır.

Kullanıcılar Ne Yapmalı?

Bu durumda kullanıcılar, özellikle sunucu, bulut veya kritik sistemlerde çalışan sistemlerde aşağıdaki adımları izlemelidir:

• Sistem güncellemelerini izleme: Özellikle Ubuntu ve Red Hat kullanıcıları, düzeltme paketlerinin ne zaman yayınlanacağını takip etmeli.
• MPTCP kullanımını denetleme: Eğer sistemlerde MPTCP dinleyicisi varsa, bu durumda güvenlik açıklığına daha açık olunduğundan bu özelliği devre dışı bırakmak mümkünse, önerilir.
• Güvenlik güncellemelerini otomatikleştirmek: Otomatik güncellemelerle sistemlerin en güncel güvenlik düzeltmelerini alması sağlanmalıdır.
• İlgili distribütörlerin güvenlik sayfalarını takip etmek: Her distribütörün güvenlik duyuruları ve düzeltme paketleri genellikle güvenlik sayfalarında yayımlanır.

Sonuç

9.8 CVSS puanlı bu Linux kernel açıklığı, hem sistem sağlayıcılarının hem de kullanıcıların dikkatini çekmektedir. Yüksek puanlı bir güvenlik zafiyeti olmasına rağmen, bazı sistem sağlayıcıları bu durumu farklı değerlendirmekte, bu da kullanıcılar için karar verme sürecini zorlaştırmaktadır. Ancak bu olay, AI destekli güvenlik analizlerinin ne kadar etkili olabileceğini göstermiş ve gelecekteki tehditlere karşı daha hızlı ve daha etkili tepkilerin alınabileceğini göstermiştir. Kullanıcılar, bu durumda bilinçli ve aktif bir şekilde sistemlerini korumalıdır.