È sempre un bene tenere sott’occhio le informative in ambito security che le varie distribuzioni mettono a disposizione degli utenti. Tanto Red Hat con il suo database di CVE quanto Ubuntu con la sezione dedicata a security del proprio sito pubblicano costantemente le informazioni relative alle vulnerabilità in corso e quali pacchetti le risolvono.

Perché sì, il valore aggiunto di un sistema operativo open-source come Linux sta proprio nel fatto di rendere pubblica ogni cosa, soprattutto quando mette a repentaglio la sicurezza del sistema.

Nell’ultimo periodo il Kernel Linux pare essere particolarmente stressato dal punto di vista delle vulnerabilità scoperte, basti pensare che il recente aggiornamento contiene le fix a diciassette (!) CVE diverse, ciascuna con un suo rischio specifico:

• CVE-2021-23134 esecuzione di codice arbitrario;
• CVE-2021-3506 potenziale DOS;
• CVE-2020-24586 esposizione di informazioni sensibili;
• CVE-2020-24587 decrittazione di frammenti WiFi;
• CVE-2021-31440 esecuzione di codice arbitrario;
• CVE-2021-33200 esecuzione di codice arbitrario;
• CVE-2021-31829 esposizione di informazioni sensibili;
• CVE-2021-32399 esecuzione di codice arbitrario;
• CVE-2020-24588 iniezione di pacchetti malevoli via WiFi;
• CVE-2020-26141 potenziale decrittazione dei pacchetti WiFi
• CVE-2021-33034 esecuzione di codice arbitrario e potenziale DOS;
• CVE-2020-26145 iniezione di pacchetti malevoli via WiFi;
• CVE-2020-26147 iniezione di pacchetti malevoli via WiFi;
• CVE-2021-3609 esecuzione di codice arbitrario;
• CVE-2020-26139 potenziale DOS via WiFi;
• CVE-2021-23133 esecuzione di codice arbitrario;
• CVE-2021-3543 esecuzione di codice arbitrario;

Le fix in questione si applicano a tutte le distribuzioni attualmente manutenute dalle “case madri”, ma è interessante notare, al di là del mero allarme sulla necessità di aggiornamento, quanto si dia per scontato che ciascuna fix sia automatica. Non è così. Ogni CVE prevede una pubblicazione, lo studio della soluzione, la pubblicazione della patch ed infine la produzione dei pacchetti correttivi. In questo caso, e per il solo ambito Kernel, questo processo si è scatenato per ben diciassette volte.

Impressionante.

Aggiornare, a questo punto, è quasi più una forma di rispetto.