Уязвимость в Linux Netfilter позволяет выполнить код на уровне ядра

Уязвимость в Linux Netfilter позволяет выполнить код на уровне ядра

Уязвимость в Linux Netfilter позволяет выполнить код на уровне ядра

В подсистеме Netfilter ядра Linux выявлена уязвимость, позволяющая локальному пользователю повысить привилегии и выполнить произвольный код, выйти за пределы контейнера или вызвать в системе состояние отказа в обслуживании (DoS).

Проблема CVE-2022-25636 (7,8 балла CVSS) классифицируется как запись за границами буфера в куче. Опасная ошибка возникает при выполнении функции nft_fwd_dup_netdev_offload, отвечающей за настройку правил пакетного фильтра и проверку поддержки аппаратного ускорения обработки пакетов (offload).

Уязвимости подвержены версии ядра Linux с 5.4 по 5.6.10. Патч уже создан, но корректирующие выпуски ядра пока не появились. Списки затронутых пакетов в дистрибутивах с указанием статуса опубликованы на сайтах Red Hat, Ubuntu и SUSE.

Как оказалось, в Ubuntu новую дыру оперативно залатали, притом одновременно с Dirty Pipe (CVE-2022-0847). Эта раскрытая в начале марта уязвимость тоже позволяет локально повысить привилегии и грозит захватом контроля над системой.

Два дня назад автор новой находки в ядре Linux раскрыл подробности CVE-2022-25636 и рассказал, как ему удалось создать PoC-код, который подходит и для сетевых устройств, не поддерживающих offload. Исследователь также отметил, что пока он готовил блог-запись, на GitHub появился похожий эксплойт, но проверить работоспособность чужого инструмента он не успел.

ИИ-бум ударил по телеком-оборудованию: вендорам не хватает комплектующих

Вендоры сетевого оборудования во всём мире, включая российских производителей, столкнулись с дефицитом ключевых компонентов. Речь идёт о специализированных процессорах, модулях памяти, накопителях, лазерах и других оптических элементах. Это приводит к росту цен и увеличению сроков поставок.

Как сообщают «Известия» со ссылкой на производителей сетевого оборудования, одной из прямых причин дефицита стал продолжающийся мировой бум строительства центров обработки данных для инфраструктуры сервисов с искусственным интеллектом (ИИ).

Как отметил генеральный директор «Иртея» Дмитрий Лаконцев, из-за этого сроки доставки комплектующих в Россию достигли полугода.

Эксперты, опрошенные изданием, отмечают, что ИИ-бум в США и Китае привёл к активной скупке процессоров, в том числе специализированных, памяти и устройств хранения по всему миру. Такая ситуация наблюдается с осени 2025 года и, по мнению аналитиков, продлится как минимум до конца 2027-го. В последнее время возник также дефицит лазеров.

«Многие ИИ-центры обработки данных — распределённые объекты, поэтому для их работы требуется большое количество оборудования передачи данных с использованием лазерных технологий DWDM, и в мире возник дефицит лазеров. Всё это приводит к недостатку серверов и телеком-оборудования, а также к росту цен на них», – рассказывает партнёр ComNews Research Леонид Коник.

По мнению эксперта НТИ по беспроводной связи Олега Яблокова, текущая ситуация сильнее всего сказывается на производителях базовых станций, транспортного и коммутационного оборудования для магистральных сетей. В таких устройствах особенно высока доля зарубежных и узкоспециализированных компонентов.

Как заявил Дмитрий Лаконцев, стоимость оборудования уже выросла в среднем на 20%. Технический директор РТК-ЦОД Алексей Забродин оценил рост цен на оборудование в 30% с начала года и в два раза в годовом выражении. В «Вымпелкоме» также согласились с тем, что цены на оборудование растут.

При этом, как отметил генеральный директор оператора ЕСК Алхас Мирзабеков, укрепление рубля не повлияло на ситуацию с ценами на оборудование. По его мнению, говорить о полноценном дефиците комплектующих пока преждевременно, однако нехватка ряда компонентов действительно наблюдается. Наиболее проблемным сегментом Алхас Мирзабеков назвал системы хранения данных, используемые в облачных сервисах.

«В перспективе это может негативно сказаться на модернизации и строительстве сетей. Недостаток оборудования не позволит операторам полноценно развиваться, что повлияет на качество связи», – делает вывод Мирзабеков. По его оценке, наиболее остро эти сложности скажутся на крупных операторах.

По оценке Леонида Коника, некоторые российские компании, выигравшие тендеры на поставку оборудования летом и осенью 2025 года, сейчас не способны выполнить обязательства по зафиксированной цене. Это может привести к тому, что крупные компании начнут отказываться от строительства и расширения собственных корпоративных ЦОД и переходить к использованию коммерческих площадок. Такой подход позволит снизить издержки, однако не даст оптимизировать использование коммуникационного оборудования, что может сказаться на развитии сетей.

RSS: Новости на портале Anti-Malware.ru