Minulý týždeň som písal, prečo aj na Slovensku vypínali weby a čo s tým má PHP. Na konci som odporučil doniesť správcom serverov kávu, lebo ich čakajú ťažké dni. Netušil som, že o týždeň prídu ešte ťažšie. Vážna chyba sa tentoraz našla priamo v jadre Linuxu, teda v samotnom základe, na ktorom beží väčšina webov. Národný bezpečnostný úrad ju označil za kritickú a vydal k nej podrobné varovanie. Na rozdiel od PHP sa nedá povedať, že stačí nainštalovať opravu. Ubuntu a Red Hat, dva z najrozšírenejších systémov na serveroch, ju k 30. októbru ešte nemali. Prečo je to väčší problém, hoci zatiaľ nikto nehlási jediný skutočný útok?
Čo je jadro Linuxu a prečo sa to týka skoro každého
Linux je operačný systém, podobne ako Windows v počítači. Jeho jadro je najspodnejšia vrstva, ktorá riadi pamäť, procesy aj sieťové spojenia. Všetko ostatné, teda web, e-mail, databáza aj PHP z minulého týždňa, beží nad ním. Podľa služby W3Techs používajú Linux takmer dve tretiny webov, pri ktorých sa dá systém zistiť. Linux však nie je len na serveroch. Je v domácich routeroch, v sieťových úložiskách na fotky a zálohy, v kamerách, vo firemných VPN bránach a v množstve ďalších zariadení, o ktorých ani netušíme, že majú vnútri počítač. Keď je chyba v PHP, týka sa webov. Keď je chyba v jadre, týka sa všetkého, čo nad ním beží.
Čo sa naozaj stalo
Chyba má označenie CVE-2026-98432 a týka sa toho, ako jadro prijíma nové spojenia cez internet. Keď sa niekto chce so serverom spojiť, pošle mu žiadosť a server si k nej odloží pár údajov. V nešťastnej chvíli sa môže stať, že jedna časť jadra tieto údaje už zahodila, kým ich iná časť ešte používa. Je to podobné, ako keby niekto vložil spis do skartovačky v momente, keď ho kolega ešte číta. Útočník vie takú chvíľu vyvolávať zámerne, špeciálne upravenými žiadosťami o spojenie, a skúšať to dovtedy, kým sa netrafí. Podľa NBÚ stačí, aby server spojenia prijímal, teda aby mal otvorený web, poštu alebo VPN. Útočník nepotrebuje heslo a nikto na serveri nemusí nič odkliknúť. Chyba je v jadre od verzie 4.4, ktorá vyšla začiatkom roka 2016, takže tam ležala takmer desať rokov.
Navonok pritom chyba dlho vyzerala nenápadne. Zraniteľnosť bola zverejnená už 15. októbra, no podľa NBÚ sa vtedy predpokladalo, že má oveľa menší dopad. Tím, ktorý vydáva bezpečnostné hlásenia k jadru Linuxu, jej 24. októbra pridelil hodnotenie 9,8 z 10. Red Hat ju hodnotí miernejšie, lebo trafiť tú nešťastnú chvíľu je podľa neho ťažké. Zlom prišiel 27. októbra, keď spoločnosť Anthropic ukázala, že sa cez ňu dá na diaľku ovládnuť celý server.
Opäť pri tom bola umelá inteligencia
Chyby v PHP našli bezpečnostné firmy s pomocou jazykových modelov. Tentoraz išla umelá inteligencia ešte o krok ďalej. Anthropic, ktorý vyvíja model Claude, zverejnil, že jeho zatiaľ nevydaný výskumný model postavil proti tejto chybe funkčný útok. V laboratóriu mu najprv 48 minút trvalo, kým obišiel ochranu, ktorá pred útočníkom skrýva rozloženie pamäte jadra. Potom za ďalších päť minút spustil na serveri príkaz s najvyššími oprávneniami, teda ako administrátor. Neúspešný pokus pritom server neshodí, takže útok sa dá skúšať znova a znova. Linux navyše nebol jediný cieľ. Podľa tej istej správy zostavil rovnaký model funkčné útoky aj proti prehliadačom Chrome a Safari, telefónu Pixel s Androidom a systému Windows. Firma všetky chyby vopred nahlásila výrobcom. Myslím si, že toto je hlavná správa posledných týždňov. Umelá inteligencia už chyby nielen hľadá, ale vie aj dokázať, že sa dajú zneužiť, a rovnaké nástroje raz budú mať aj tí druhí.
Treba povedať aj druhú stranu. Anthropic svoj útok nezverejnil a predviedol ho na serveri s menej bežným nastavením, takzvaným MPTCP, ktoré umožňuje jednému spojeniu ísť naraz viacerými cestami. Či sa rovnako dá ovládnuť aj server bez neho, zatiaľ nikto nevie. NBÚ však upozorňuje, že chyba sa na MPTCP neobmedzuje a jeho vypnutie riziko úplne neodstráni. K 30. októbru podľa úradu vzniklo viacero verejných ukážok iných spôsobov zneužitia, plne funkčný kód však zatiaľ nikto nezverejnil. O útokoch v praxi k 29. októbru nehovoril žiadny výrobca. V tom je situácia iná ako pri PHP, kde útočníci skúšali chybu zneužiť ešte pred zverejnením opravy.
Prečo je to ťažší oriešok ako PHP
Pri PHP vyšli opravy pre podporované verzie v deň zverejnenia. Pri jadre je obraz pestrejší. Debian, Oracle a časť produktov SUSE a Amazonu opravené jadrá majú. Ubuntu však k 30. októbru opravu pre žiadnu zo svojich verzií nevydalo a Red Hat ju pre RHEL 8, 9 a 10 odložil. Práve tieto systémy pritom bežia na serveroch mnohých firiem, úradov aj hostingov. Kto ich používa, zatiaľ nemá čo nainštalovať.
A keď oprava príde, nestačí ju nainštalovať. Nepomôže ani znovu zostaviť kontajnery, ako to bolo pri PHP, lebo všetky kontajnery na serveri používajú jadro hostiteľa. Nové jadro sa načíta až po reštarte, teda po krátkej odstávke všetkého, čo na serveri beží. Práve tu sa veci v praxi zasekávajú. Keď som v piatok kontroloval servery, o ktoré sa starám, pri jednom som zistil, že beží na jadre spred piatich mesiacov. Aktualizácie sa doň poctivo inštalovali, lenže server sa za ten čas ani raz nereštartoval, takže sa žiadne novšie jadro nikdy nenačítalo. Na papieri vyzeral ako aktualizovaný, v skutočnosti nebol. Myslím si, že takých serverov nie je málo.
Tretí problém sú zariadenia. Router, sieťové úložisko alebo kameru neaktualizuje správca jedným príkazom, opravu musí vydať výrobca v novom firmvéri. NBÚ výslovne píše, že úplný zoznam zasiahnutých zariadení neexistuje a treba sledovať stránky výrobcov alebo sa ich priamo pýtať. Kým oprava nie je, úrad odporúča dočasné pravidlo vo firewalle, ktoré zahadzuje práve tie špeciálne upravené žiadosti o spojenie, a prístup k službám obmedziť len na dôveryhodné siete. Na svojich serveroch som ho nasadil v piatok a weby bežia ďalej bez problémov. Nie je to však oprava, len opatrenie na čas, kým príde nové jadro.
Čo z toho pre bežného človeka
Dobrá správa je, že váš telefón ani notebook, ktorý sa len pripája na weby, cieľom nie je. Podľa NBÚ je zraniteľný ten, kto spojenia prijíma, nie ten, kto ich len otvára. Pozornosť si však zaslúži všetko, na čo sa dá pripojiť z internetu. Máte doma sieťové úložisko, kameru alebo iné zariadenie, na ktoré sa pripájate zvonku? Pozrite sa, či výrobca nevydal novú verziu, a kým ju nevydá, zvážte, či ho naozaj potrebujete mať otvorené do sveta. Máte vlastný web alebo e-shop? Spýtajte sa hostingu, kedy nasadí opravené jadro. A ak má vaša firma vlastný server, položte tomu, kto sa oň stará, jednoduchú otázku: kedy bol naposledy reštartovaný? Ak je odpoveď „pred pár mesiacmi“, viete, kde začať.
Ak vám niektorý web v najbližších dňoch na pár minút vypadne, môže to byť práve reštart po aktualizácii jadra. Aj tentoraz je to dobrá správa, nie zlá.
Minulý týždeň stačilo aktualizovať PHP. Tentoraz treba vymeniť samotný základ a server reštartovať, a mnohí na opravu ešte len čakajú.
Kávu budú správcovia potrebovať aj tento týždeň.
