Отчасти защото ако надхвърлим 3% пазарен дял, това е съвсем малко и благодарение на Steam Deck потребителите на Linux обикновено не четат или се тревожат за новини като тази, която ви представяме днес. Но това, че нещо обикновено не се случва, не означава, че никога не се случва. Има уязвимости, които са открити в ядрото и корекциите пристигат скоро, но има други, които са в други компоненти, които също използваме, и нещо подобно е това, което използва това, което стана известно като Looney Tunables.
Уязвимостта позволява a местен нападател спечелете привилегии на суперпотребител (root), като използвате слабостта на препълването на буфера в динамичния зареждащ ld.so на библиотеката GNU C. Тази библиотека, по-известна като glibc, е библиотеката C на системите GNU и повечето базирани на ядрото на Linux. Осигурява основна функционалност, включително системни извиквания като open, malloc, printf, exit и други.
Looney Tunables е опасен, но е необходим локален достъп
Открит е от Qualys Threat Research Unit и това е уязвимост, която беше представен през април 2021 г до glibc 2.34. Кодът, с който е известен, е CVE-2023-4911 и може да позволи ескалация на привилегии, така че нападателят да може да се движи свободно през операционната система. Разбира се, изисква се физически достъп; не може да се използва дистанционно.
Засегнатите операционни системи са безброй, а списъкът включва Debian 12 и 13, Fedora 37 и 38 и всичко базирано на тях. Версиите на Ubuntu, които са включени в този списък, са последните две стабилни, които все още се радват на поддръжка, които са Ubuntu 22.04 и 23.04. Не се споменава нито един предишен или 23.10, който ще бъде пуснат следващата седмица, въпреки че се споменава Debian 13, чиято стабилна версия ще пристигне през 2025 г. Alpine Linux не е засегнат, тъй като използва musl libc.
За да се защитите от този и други пропуски в сигурността на Linux, най-доброто, което можем да направим, е винаги поддържайте добре актуализирана операционна система. Сега, след като стана публично достояние, бих казал, че е въпрос на часове или най-много дни, преди да бъдат пуснати пачове за защита срещу тази заплаха.