三个Linux内核漏洞被确认在野利用，修复期限只有三天

A5站长网9月21日消息，美国网络安全和基础设施安全局把三个Linux内核漏洞加入已知被利用漏洞目录，并给出9月21日的修复期限。三个漏洞分布在不同子系统，最高危的一条CVSS评分为9.8，位于内核TLS接收路径；另一条8.8分，属于网络桥接的ebtables源地址转换路径上的越界写；第三条7.8分，是AF_ALG密码接口上的竞态条件。

三条路径的性质不同，排查侧重也不一样。内核TLS那条在启用该特性并连接TCP套接字的配置下可被网络侧触发，对外暴露的服务需要排在修复队列前面；ebtables那条需要本机存在相关桥接规则，本地攻击者可用它破坏内存、导致宕机或提权；AF_ALG那条同样偏本地路径，多个并发写操作会让内部状态不一致，影响密码运算结果的完整性。

Red Hat在9月19日更新了三个漏洞的安全公告，明确其中一条存在已知的公开利用代码，要求按高优先级处理。厂商确认在野利用意味着修复不只是打个补丁这么简单，加进目录的同时也带着取证排查的要求，已经进入的系统不会因为打了补丁就自动恢复干净。

运维侧的动作顺序值得梳理。升级应使用发行版提供的修复包，而不是只看上游版本号自行判断；安装新内核后需要重启并确认实际运行的是修复后的构建，仅把新包放进磁盘并不起作用。日志与遥测数据要在修复前留存，否则系统状态改变后，崩溃记录、异常的权限变化与命名空间活动可能一起消失。

如果短期内无法完成更新，可以先评估缓解手段：停用未使用的内核TLS、清理不必要的ARP重写规则、限制相关能力位，并确认不受支持的产品是否还有必要留在生产环境。资产清单在这里尤其重要，需要知道哪些主机启用了这些特性、哪些允许不受信任的用户登录。