MC: Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca aktualizacji systemów operacyjnych Linux wydanych po 2017 roku (komunikat)

- Ministerstwo Cyfryzacji informuje:

Pełnomocnik zarekomendował podmiotom krajowego systemu cyberbezpieczeństwa bezzwłoczną aktualizację systemów operacyjnych gnu/Linux wydanych po 2017 roku do najbardziej aktualnej wersji lub do wersji, dla której krytyczna podatność CVE-2026-31431 (Copy Fail) została usunięta.

W rekomendacji Pełnomocnik ujął również informację o podatności Dirty Frag (wykorzystującą podobny mechanizm co luka Copy Fail), dla której rekomendowane jest tymczasowe rozwiązanie, które należy zastosować - wyłączenie modułów jądra systemu operacyjnego.

Obie podatności pozwalają na eskalację uprawnień od zwykłego użytkownika do konta administratora. Kod pozwalający na wykorzystanie podatności jest publicznie dostępny, a jego użycie nie wymaga zaawansowanych umiejętności technicznych. Oznacza to, że ryzyko praktycznego wykorzystania luki jest wysokie. Szczególnie zagrożone są środowiska, w których dostęp do systemu mają niezaufani użytkownicy lub uruchamiany jest kod pochodzący od użytkowników. Dotyczy to w szczególności:

- serwerów współdzielonych,

- środowisk multi-tenant,

- klastrów Kubernetes,

- środowisk kontenerowych,

- aplikacji CI runners,

- platform chmurowych,

- usług SaaS uruchamiających kod użytkownika.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa przeprowadził konsultacje w powyższym zakresie z CSIRT NASK, CSIRT GOV oraz CSIRT MON, na podstawie której została potwierdzona możliwość wystąpienia incydentu krytycznego w przypadku niezastosowania się do powyższej rekomendacji. Stosowanie oprogramowania z ww. podatnościami ma negatywny wpływ na bezpieczeństwo publiczne i istotny interes bezpieczeństwa państwa.

Pełna treść rekomendacji w komunikacie na stronie Ministerstwa Cyfryzacji: https://www.gov.pl/web/cyfryzacja/rekomendacja-pelnomocnika-rzadu-ds-cyberbezpieczenstwa-dotyczaca-aktualizacji-systemow-operacyjnych-linux-wydanych-po-2017-roku.

UWAGA: komunikaty publikowane są w serwisie PAP bez wprowadzania przez PAP SA jakichkolwiek zmian w ich treści, w formie dostarczonej przez nadawcę. Nadawca komunikatu ponosi odpowiedzialność za jego treść – z zastrzeżeniem postanowień art. 42 ust. 2 ustawy prawo prasowe. (PAP)

kom/ mbed/ mhr/