Mehrere schwere Linux Kernel Sicherheitslücken sind öffentlich geworden, bevor es Patches dafür gibt. Das betrifft grundsätzlich alle Linux-Distributionen, also auch Valves SteamOS auf dem Steam Deck und anderen Geräten.
Berichte landeten auf der falschen Mailingliste
Die Fehlerberichte stammen offenbar von der Zero Day Initiative (ZDI) von Trend Micro. Statt auf der privaten Security-Liste landeten sie über Nacht auf der öffentlichen Kernel-Mailingliste. Zuerst berichtete die Linux-Seite Phoronix darüber. Kernel-Betreuer Greg Kroah-Hartman antwortete auf jeden Bericht einzeln und bat die ZDI, ihren Ablauf zu korrigieren.
Diese Lücken sind betroffen
Am schwersten wiegen zwei Lücken im SMB-Bereich (SMB Direct und KSMBD). Sie erlauben im schlimmsten Fall das Ausführen von Schadcode aus der Ferne und haben einen CVSS-Wert von 9.0. Weitere Lücken stecken im Netzwerkcode, im TCP-Stack und im VMware-Grafiktreiber. Sie können Angreifern erweiterte Rechte auf dem System verschaffen. Eine weitere Lücke im NVMe-Bereich kann Daten preisgeben.
Was Spieler jetzt tun können
Für einige Lücken gibt es bereits Patches in Test- oder Entwicklungszweigen. Für eine der SMB-Lücken liegt eine Korrektur für Linux 7.5 bereit. PC Gamer rät deshalb, einen Wechsel auf Beta-Zweige zu prüfen, da Korrekturen dort früher ankommen könnten. Beta-Versionen bringen aber eigene Risiken mit.
Valve hat sich zu SteamOS noch nicht geäußert. Nutzer sollten auf Sicherheitsupdates ihrer Distribution achten und SMB-Dienste nicht in unsicheren Netzen freigeben.
