Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2022-0995 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2022 |
| Data publikacji | 2026-08-26 |
| Producent | Linux |
| Produkt | Jądro Linuksa (podsystem watch_queue) |
| CVSS Score | 7.8 (Wysoki) |
| EPSS Score | 6.3% (percentyl: 93%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-09 |
Opis podatności
Źródło: CISA KEV / NVD
W podsystemie powiadomień zdarzeń watch_queue jądra Linuksa wykryto błąd zapisu poza zakresem pamięci (out-of-bounds write). Wykorzystanie go pozwala nadpisać fragmenty stanu jądra, co lokalny użytkownik może przekuć w podwyższenie uprawnień albo w odmowę usługi dla całego systemu.
To podatność lokalna — atakujący musi już mieć możliwość uruchomienia kodu na maszynie. W praktyce oznacza to drugi krok w łańcuchu ataku: po wejściu przez aplikację webową, skradzione poświadczenia SSH albo konto serwisowe, watch_queue służy do zdobycia roota.
Poprawki są dostępne od 2022 roku w jądrach wszystkich głównych dystrybucji. Obecność tego CVE w katalogu KEV w 2026 roku pokazuje, jak długo niezaktualizowane jądra pozostają w produkcji.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz z wymaganiami CISA dotyczącymi triage’u śledczego („Forensics Triage Requirements”). W przypadku usług chmurowych postępuj zgodnie z odpowiednimi wytycznymi BOD 26-04 albo zaprzestań korzystania z produktu, jeśli środki zaradcze nie są dostępne. Za ocenę ekspozycji każdego zasobu na dostęp z internetu oraz za przestrzeganie wytycznych BOD 26-04 odpowiadają właściciele systemów.
W praktyce: aktualizacja jądra do wersji dostarczonej przez dystrybucję i restart maszyny. Sam yum update bez restartu nie usuwa podatności — działające jądro pozostaje stare.
Termin wyznaczony przez CISA dla podmiotów federalnych USA: 2026-09-09.
Kogo dotyczy?
Podatność dotyczy systemów z jądrem Linuksa obsługującym podsystem watch_queue, które nie otrzymały poprawki z 2022 roku.
W polskich firmach to przede wszystkim serwery aplikacyjne i bazodanowe, węzły Kubernetes oraz maszyny wirtualne, które uruchomiono kilka lat temu i od tego czasu nie restartowano — bo „działają”. Warto zestawić listę hostów według czasu działania (uptime): maszyny z uptime liczonym w latach są najpewniejszymi kandydatami.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
