In Breve
- Quali vulnerabilità del kernel Linux sono state segnalate dalla CISA?
- La CISA ha segnalato tre vulnerabilità: CVE-2025-39682, CVE-2026-53266 e CVE-2025-39964.
- Qual è la scadenza per applicare le patch?
- La scadenza per applicare le patch è il 21 settembre 2026.
- Quali sono i rischi associati a queste vulnerabilità?
- I rischi includono la divulgazione di memoria, denial of service e possibile escalation di privilegi.
La Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente inserito tre vulnerabilità significative del kernel Linux nel suo catalogo delle Known Exploited Vulnerabilities (KEV). Gli utenti sono stati avvisati di un termine di tre giorni per applicare le correzioni, scadenza fissata per il 21 settembre 2026.
Le vulnerabilità sono classificate come segue:
- CVE-2025-39682: punteggio di 9.8/10 (critica)
- CVE-2026-53266: punteggio di 8.8/10 (alta)
- CVE-2025-39964: punteggio di 7.8/10 (alta)
Tutte e tre le falle sono state corrette nelle rispettive versioni del kernel. In particolare:
- CVE-2025-39682 è stata risolta nelle release stabili 6.1.149, 6.6.103, 6.12.44 e 6.16.4.
- CVE-2025-39964 è stata corretta nelle release 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 e 6.16.9.
- CVE-2026-53266 è stata corretta upstream e backportata su rami stabili/distributivi, inclusi 5.10.259, 6.1.176 e 6.12.94.
Le vulnerabilità presentano diversi rischi:
- CVE-2025-39682 consente la divulgazione di memoria o un denial of service (DoS).
- CVE-2026-53266 permette scritture fuori dai limiti nell’implementazione ebtables SNAT ARP rewrite, con potenziale escalation di privilegi o DoS da parte di attaccanti locali.
- CVE-2025-39964 è caratterizzata da una race condition che consente scritture concorrenti sullo stesso socket AF_ALG, portando a crash del sistema o corruzione dei risultati di operazioni crittografiche.
È importante notare che CVE-2025-39682 potrebbe essere attivabile da remoto solo su sistemi che utilizzano il percorso di ricezione kTLS; le altre due vulnerabilità sono sfruttabili localmente.
Per mitigare i rischi, sono disponibili alcune soluzioni parziali:
- Per CVE-2025-39682, è consigliato impedire il caricamento del modulo tls.
- Per CVE-2026-53266, si suggerisce di disabilitare la riscrittura degli indirizzi hardware ARP nelle regole ebtables SNAT o rimuovere tali regole su interfacce bridge.
- Per CVE-2025-39964, non è indicata una mitigazione efficace oltre all’applicazione delle patch.
Red Hat ha confermato che le tre vulnerabilità sono oggetto di sfruttamento in attacchi reali, definendole ad alto rischio e segnalando l’esistenza di exploit pubblici. Si raccomanda pertanto di procedere con la correzione con priorità elevata.
Le vulnerabilità del kernel Linux sono trattate come criticità variabili in base al contesto di distribuzione e utilizzo. Negli ultimi tempi, sono stati pubblicati anche altri exploit locali di escalation di privilegi, tra cui DirtyAH6, TUNderflow, PPPoEject e DiagSpill.
