Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2025-39682 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2025 |
| Data publikacji | 2026-09-18 |
| Producent | Linux |
| Produkt | jądro systemu |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | 0.5% (percentyl: 42%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-21 |
Opis podatności
Źródło: CISA KEV
Jądro Linuksa zawiera podatność klasy improper check for unusual or exceptional conditions — niewłaściwej kontroli warunków nietypowych lub wyjątkowych — w ścieżce odbiorczej TLS.
Mechanizm: rekord o zerowej długości pobrany z listy rx_list omija przewidzianą obsługę typu rekordu w wywołaniu recvmsg(). W konsekwencji kolejne rekordy TLS mogą zostać przetworzone przy błędnych założeniach dotyczących kopiowania bez pośrednictwa bufora (zero-copy) oraz kolejkowania.
Sedno problemu to przypadek brzegowy, którego kod nie przewidział: rekord pusty. Skutkiem nie jest pojedyncze błędne odczytanie, lecz naruszenie założeń dla następnych rekordów — czyli stan, w którym jądro przetwarza dalszy ruch według nieaktualnego obrazu sytuacji.
Odrębne ostrzeżenie z wpisu CISA: część objętych wydań może być już po zakończeniu wsparcia (end-of-life) lub po zakończeniu serwisowania (end-of-service). Dla takich systemów poprawka może nie powstać, a zalecenie sprowadza się do zaprzestania użytkowania lub migracji na wersję wspieraną. To zmienia charakter zadania z „wgrać aktualizację” na „zaplanować wymianę”.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy systemów opartych na jądrze Linuksa — wpis CPE obejmuje zarówno linux:linux_kernel, jak i dystrybucję Debian.
Ponieważ podatność leży w obsłudze kTLS, w pierwszej kolejności przejrzyj systemy, które terminują ruch TLS w jądrze: serwery proxy, load balancery i usługi o dużym wolumenie ruchu szyfrowanego. Osobno wypisz maszyny z jądrami po EoL — dla nich aktualizacja może nie być dostępna, a decyzja o migracji wymaga czasu i okna serwisowego, więc im wcześniej trafi do planu, tym lepiej.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
