Kernel Linux, divulgate pubblicamente per errore alcune falle non risolte

I ragazzi di TrendMicro hanno combinato un piccolo pasticcio che ha messo a repentaglio la sicurezza del kernel Linux: in poche parole la divisione che si occupa di trovare nuove vulnerabilità, la Zero Day Initiative, ha inviato rapporti tecnici sulle sue ultime scoperte all’indirizzo email pubblico della Linux Kernel Mailing List (LKML) invece che ai canali privati solitamente usati per discutere di falle non ancora corrette. Una svista piuttosto banale, tutto sommato, ma qui si parla del kernel Linux: un pezzo di software che sta alla base di talmente tanti di quei dispositivi, server e computer, e quindi deve aderire ai più rigorosi standard di sicurezza. Inevitabilmente alcune delle figure chiave dello sviluppo del kernel hanno risposto con parole piuttosto stizzite, “invitando” (diciamo così) i ricercatori a rivedere le loro procedure per la segnalazione delle vulnerabilità. In particolare Greg Kroah-Hartman, uno dei principali punti di riferimento per la manutenzione delle versioni stabili del kernel, è stato (comprensibilmente) piuttosto critico in più di una discussione. L’incidente si è peraltro verificato pochi giorni dopo la pubblicazione della versione stabile 7.3 del kernel, mentre lo sviluppo della successiva versione 7.4 è ancora in corso.Segnalare le vulnerabilità di un software privatamente ai suoi sviluppatori è una pratica standard nel settore, ed è relativamente facile immaginare perché. Se queste informazioni fossero immediatamente divulgate in pubblico, potrebbero arrivare anche alle orecchie dei criminali, che potrebbero riuscire a scrivere degli exploit prima che le patch correttive siano distribuite. Già in questo particolare periodo storico la questione è piuttosto delicata, visto che le tecniche di reverse engineering e di ricerca automatizzata delle vulnerabilità, anche con l’ausilio dell’intelligenza artificiale, rendono molto più rapido il processo con cui gli aggressori possono analizzare il software alla ricerca di punti deboli.

CLICCA QUI PER CONTINUARE A LEGGERE