{"id":170830,"date":"2026-05-16T18:24:39","date_gmt":"2026-05-16T16:24:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/model-ugroz-i-osobennosti-oczenki-uyazvimostej-v-yadre-linux"},"modified":"2026-05-16T18:24:39","modified_gmt":"2026-05-16T16:24:39","slug":"model-ugroz-i-osobennosti-oczenki-uyazvimostej-v-yadre-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/model-ugroz-i-osobennosti-oczenki-uyazvimostej-v-yadre-linux","title":{"rendered":"Fenyeget\u00e9si modell \u00e9s a Linux kernel s\u00e9r\u00fcl\u00e9kenys\u00e9geinek \u00e9rt\u00e9kel\u00e9s\u00e9nek saj\u00e1toss\u00e1gai.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Linus Torvalds elfogadta a mag kernelbe a biztons\u00e1ggal kapcsolatos hib\u00e1k kezel\u00e9s\u00e9re vonatkoz\u00f3 dokumentumot, amely meghat\u00e1rozza a fenyeget\u00e9sek modellj\u00e9t, magyar\u00e1zza, hogy mely kernelhib\u00e1kat tekintenek sebezhet\u0151s\u00e9geknek, \u00e9s bemutatja az AI seg\u00edts\u00e9g\u00e9vel felfedezett hib\u00e1kkal kapcsolatos int\u00e9zked\u00e9seket. A dokumentumot Willy Tarreau, a HAProxy szerz\u0151je \u00e9s a Linux kernel r\u00e9g\u00f3ta fejleszt\u0151je k\u00e9sz\u00edtette, aki t\u00f6bb stabil kernelverzi\u00f3 karbantart\u00e1s\u00e1\u00e9rt felelt. A dokumentum alapj\u00e1t a nemr\u00e9g felfedezett kritikus sebezhet\u0151s\u00e9gekkel (1, 2, 3, 4) kapcsolatos megbesz\u00e9l\u00e9sek keret\u00e9ben el\u00e9rt meg\u00e1llapod\u00e1sok alkotj\u00e1k, amelyeket a jav\u00edt\u00e1sok k\u00f6zz\u00e9t\u00e9tele el\u0151tt t\u00e1rt\u00e1k fel, \u00e9s amelyekhez az AI seg\u00edts\u00e9g\u00e9vel gyorsan val\u00f3di exploitok k\u00e9sz\u00edt\u00e9s\u00e9re is lehet\u0151s\u00e9g ny\u00edlt. <\/p>\n
A biztons\u00e1ggal kapcsolatos hib\u00e1k t\u00f6bbs\u00e9g\u00e9t nyilv\u00e1nosan kell kezelni, hogy a lehet\u0151 legsz\u00e9lesebb k\u00f6z\u00f6ns\u00e9get bevonhass\u00e1k \u00e9s optimaliz\u00e1lt megold\u00e1sokat tal\u00e1ljanak. Csak a sz\u00e9les k\u00f6rben kihaszn\u00e1lhat\u00f3 \u00e9s sz\u00e1mos felhaszn\u00e1l\u00f3t fenyeget\u0151, fokozott privil\u00e9giumokat vagy lehet\u0151s\u00e9geket biztos\u00edt\u00f3 sebezhet\u0151s\u00e9gekr\u0151l sz\u00f3l\u00f3 s\u00fcrg\u0151s \u00e9rtes\u00edt\u00e9seket javasolt egy k\u00fcl\u00f6n, bels\u0151 levelez\u00e9si list\u00e1ra k\u00fcldeni. <\/p>\n
Az AI-asszisztensek \u00e1ltal felt\u00e1rt sebezhet\u0151s\u00e9geket mindig nyilv\u00e1nosan aj\u00e1nlott megvitatni, mivel az ilyen probl\u00e9m\u00e1k gyakran t\u00f6bb kutat\u00f3 \u00e1ltal egyszerre ker\u00fclnek felfedez\u00e9sre. Ugyanakkor a jelent\u00e9sben nem sz\u00fcks\u00e9ges nyilv\u00e1noss\u00e1gra hozni az exploitot \u2014 elegend\u0151 megeml\u00edteni, hogy az el\u00e9rhet\u0151, \u00e9s k\u00e9r\u00e9sre priv\u00e1t m\u00f3don \u00e1tadni azt a t\u00e1mogat\u00f3 szem\u00e9lynek. <\/p>\n
K\u00fcl\u00f6n szab\u00e1lyokat \u00edrnak le az AI-asszisztensek \u00e1ltal k\u00e9sz\u00edtett jelent\u00e9sek \u00e1tad\u00e1s\u00e1ra. Ilyen jelent\u00e9sekb\u0151l sok \u00e9rkezik, \u00e9s ezek seg\u00edts\u00e9g\u00e9vel id\u0151r\u0151l id\u0151re siker\u00fcl hib\u00e1kat felfedezni a rosszul \u00e1tn\u00e9zett k\u00f3dokban, de a ny\u00fajt\u00f3k gyakran figyelmen k\u00edv\u00fcl hagyj\u00e1k \u0151ket a gyenge min\u0151s\u00e9g\u00fck \u00e9s pontatlans\u00e1guk miatt. Az AI-val t\u00e1mogatott jelent\u00e9sek f\u0151bb k\u00f6vetelm\u00e9nyei a k\u00f6vetkez\u0151k: <\/p>\n
\n
R\u00f6vids\u00e9g, felesleges sz\u00f3lamok n\u00e9lk\u00fcl, a l\u00e9nyeg \u00e9s a fontos r\u00e9szletek megad\u00e1s\u00e1val m\u00e1r a legelej\u00e9n.\n
Csak sima sz\u00f6veg, Markdown-tagek \u00e9s d\u00edsz\u00edt\u00e9s n\u00e9lk\u00fcl.\n
A fenyeget\u00e9smodell meg\u00e9rt\u00e9se \u00e9s az ellen\u0151rizhet\u0151 t\u00e9nyek felt\u00fcntet\u00e9se (p\u00e9ld\u00e1ul: \u201ea hiba lehet\u0151v\u00e9 teszi, hogy b\u00e1rmely felhaszn\u00e1l\u00f3 CAP_NET_ADMIN-hozjusson\u201d), nem pedig elm\u00e9leti spekul\u00e1ci\u00f3k \u00e9s tal\u00e1lgat\u00e1sok a sebezhet\u0151s\u00e9g k\u00f6vetkezm\u00e9nyeir\u0151l.\n
A jelent\u00e9s elk\u00fcld\u00e9se el\u0151tt alaposan tesztelni kell az AI \u00e1ltal l\u00e9trehozott exploit m\u0171k\u00f6d\u00e9s\u00e9t, \u00e9s meg kell gy\u0151z\u0151dni arr\u00f3l, hogy reproduk\u00e1lhat\u00f3 a probl\u00e9ma.\n
AI bevon\u00e1sa a felfedezett probl\u00e9ma jav\u00edt\u00e1s\u00e1nak kidolgoz\u00e1s\u00e1ba \u00e9s tesztel\u00e9s\u00e9be. <\/ul>\n
Statisztik\u00e1k szerint a jelent\u00e9sek t\u00f6bbs\u00e9ge, amelyet a sebezhet\u0151s\u00e9gek kijav\u00edt\u00e1sak\u00e9nt k\u00fcldenek el, nem az, ez\u00e9rt ezeket a hagyom\u00e1nyos hib\u00e1khoz hasonl\u00f3an kell kezelni. A Linux kernel fenyeget\u00e9si modellje a sebezhet\u0151s\u00e9gek \u00e9s a norm\u00e1l hib\u00e1k elv\u00e1laszt\u00e1s\u00e1ra szolg\u00e1l. A k\u00f6vetkez\u0151 lehet\u0151s\u00e9gek \u00e9s garanci\u00e1k megs\u00e9rt\u00e9se sebezhet\u0151s\u00e9gnek sz\u00e1m\u00edt: <\/p>\n
\n
Felhaszn\u00e1l\u00f3i szint\u0171 izol\u00e1ci\u00f3: f\u00e1jlokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s csak a tulajdonos sz\u00e1m\u00e1ra, a folyamat mem\u00f3ri\u00e1ja nem el\u00e9rhet\u0151 m\u00e1s felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra, a ptrace m\u00e1s felhaszn\u00e1l\u00f3k folyamataira letiltva, IPC \u00e9s h\u00e1l\u00f3zati kommunik\u00e1ci\u00f3k izol\u00e1ci\u00f3ja.\n
Capabilities-alap\u00fa v\u00e9delem: CAP_SYS_ADMIN n\u00e9lk\u00fcl nem lehet megv\u00e1ltoztatni a kernel konfigur\u00e1ci\u00f3j\u00e1t, a mem\u00f3ri\u00e1t vagy a rendszer \u00e1llapot\u00e1t, CAP_NET_ADMIN n\u00e9lk\u00fcl nem lehet megv\u00e1ltoztatni a h\u00e1l\u00f3zati be\u00e1ll\u00edt\u00e1sokat vagy elkapni a forgalmat, CAP_SYS_PTRACE n\u00e9lk\u00fcl pedig nem lehet nyomon k\u00f6vetni m\u00e1s felhaszn\u00e1l\u00f3k folyamatait.\n
A felhaszn\u00e1l\u00f3i azonos\u00edt\u00f3k n\u00e9vk\u00f6r\u00e9nek (CONFIG_USER_NS) lehet\u0151s\u00e9ge lehet\u0151v\u00e9 teszi az alacsony jogosults\u00e1g\u00fa felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra, hogy saj\u00e1t elk\u00fcl\u00f6n\u00edtett k\u00f6rnyezeteket hozzanak l\u00e9tre, amelyek nem befoly\u00e1solhatj\u00e1k a glob\u00e1lis n\u00e9vk\u00f6rt, p\u00e9ld\u00e1ul nem v\u00e1ltoztathatj\u00e1k meg az id\u0151t, nem t\u00f6lthetnek be modulokat \u00e9s nem szerelhetnek fel blokkez\u0151 eszk\u00f6z\u00f6ket.\n
A hibakeres\u00e9si interf\u00e9szek (proc\/kmsg, perf, debugfs), amelyek bizalmas inform\u00e1ci\u00f3khoz val\u00f3 hozz\u00e1f\u00e9r\u00e9st biztos\u00edtanak, csak akkor \u00e9rhet\u0151k el, ha az adminisztr\u00e1tor kifejezetten enged\u00e9lyezi a hozz\u00e1f\u00e9r\u00e9st. <\/ul>\n
Olyan lehet\u0151s\u00e9gek, amelyek nem tekinthet\u0151k sebezhet\u0151s\u00e9geknek: <\/p>\n
\n
Elavult kernel \u00e1gak haszn\u00e1lata.\n
A fejleszt\u0151i m\u00f3dos\u00edt\u00e1sokat vagy a biztons\u00e1got cs\u00f6kkent\u0151 opci\u00f3kat enged\u00e9lyez\u0151 \u00f6ssze\u00e1ll\u00edt\u00e1s (p\u00e9ld\u00e1ul CONFIG_NOMMU).\n
Biztons\u00e1gi szempontb\u00f3l kock\u00e1zatos sysctl be\u00e1ll\u00edt\u00e1sok, parancssori opci\u00f3k, f\u00e1jlrendszeren bel\u00fcli hozz\u00e1f\u00e9r\u00e9si jogok, capabilities vagy nem privil\u00e9giz\u00e1lt felhaszn\u00e1l\u00f3knak a privil\u00e9giz\u00e1lt interf\u00e9szekhez val\u00f3 hozz\u00e1f\u00e9r\u00e9s biztos\u00edt\u00e1sa (p\u00e9ld\u00e1ul \u00edr\u00e1si jogosults\u00e1g a procfs \u00e9s debugfs al\u00e1).\n
Olyan probl\u00e9m\u00e1k, amelyek a kernel kifejleszt\u00e9s\u00e9re \u00e9s hibakeres\u00e9s\u00e9re szolg\u00e1l\u00f3 funkci\u00f3kn\u00e1l tapasztalhat\u00f3k, mint a LOCKDEP, KASAN \u00e9s FAULT_INJECTION, amelyeket nem szabad munkak\u00f6rnyezetekben enged\u00e9lyezni.\n
Probl\u00e9m\u00e1k a meghajt\u00f3kban, modulokban \u00e9s alrendszerekben, amelyek a STAGING szekci\u00f3ban tal\u00e1lhat\u00f3k, vagy k\u00eds\u00e9rleti, nem biztons\u00e1gos vagy nem m\u0171k\u00f6d\u0151k\u00e9nt vannak megjel\u00f6lve.\n
Harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 kernel modulok vagy nem hivatalos kernel forkok haszn\u00e1lata.\n
T\u00falzott jogosults\u00e1gok k\u00f6vetelm\u00e9nye, p\u00e9ld\u00e1ul a root jogokkal val\u00f3 tev\u00e9kenys\u00e9gek v\u00e9grehajt\u00e1s\u00e1nak sz\u00fcks\u00e9gess\u00e9ge, vagy olyan felhaszn\u00e1l\u00f3t\u00f3l, aki rendelkezik a CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_SYS_RAWIO \u00e9s CAP_SYS_MODULE jogokkal.\n
Elm\u00e9leti t\u00e1mad\u00e1sok, amelyek laborat\u00f3riumi k\u00f6r\u00fclm\u00e9nyeket, milli\u00e1rdnyi pr\u00f3b\u00e1lkoz\u00e1st, hardver emul\u00e1ci\u00f3t vagy m\u00f3dos\u00edt\u00e1st, ar\u00e1nytalan k\u00f6lts\u00e9geket \u00e9s irre\u00e1lis konfigur\u00e1ci\u00f3kat ig\u00e9nyelnek (p\u00e9ld\u00e1ul rendszerek, amelyek tizede ezer CPU maggal rendelkeznek).\n
A v\u00e9delmi mechanizmusok megker\u00fcl\u00e9se (p\u00e9ld\u00e1ul ASLR) an\u00e9lk\u00fcl, hogy exploit bemutat\u00e1sra ker\u00fclj\u00f6n. Argumentumellen\u0151rz\u00e9sek \u00e9s visszat\u00e9r\u00e9si k\u00f3dok hi\u00e1nya, amelyeknek nincsenek nyilv\u00e1nval\u00f3 k\u00f6vetkezm\u00e9nyeik.\n
V\u00e9letlenszer\u0171 inform\u00e1ci\u00f3sziv\u00e1rg\u00e1sok, amelyek az t\u00e1mad\u00f3k \u00e1ltal nem ellen\u0151rz\u00f6ttek, p\u00e9ld\u00e1ul marad\u00e9k adatok hiba\u00fczenetekben \u00e9s a kernel mem\u00f3riac\u00edmek\/c\u00edmek sziv\u00e1rg\u00e1sa k\u00f6zvetlen kihaszn\u00e1l\u00e1si lehet\u0151s\u00e9g n\u00e9lk\u00fcl.\n
Hib\u00e1k s\u00e9r\u00fclt lemezk\u00e9pek csatlakoztat\u00e1sakor, ha a meghajt\u00f3 nem ismert, hogy megb\u00edzhat\u00f3 m\u00e9diaforr\u00e1sokkal haszn\u00e1lhat\u00f3. Lemezk\u00e9p probl\u00e9m\u00e1k, amelyeket az fsck seg\u00e9deszk\u00f6z futtat\u00e1s\u00e1val lehet \u00e9szlelni \u00e9s orvosolni.\n
Olyan t\u00e1mad\u00e1sok, amelyek fizikai hozz\u00e1f\u00e9r\u00e9st ig\u00e9nyelnek a hardverhez, hardver m\u00f3dos\u00edt\u00e1shoz vagy olyan hardver eszk\u00f6z\u00f6k csatlakoztat\u00e1s\u00e1hoz, mint a DMA t\u00e1mad\u00e1sokhoz sz\u00fcks\u00e9ges k\u00e1rty\u00e1k \u00e9s logikai analiz\u00e1torok, ha a rendszer nem lett kifejezetten be\u00e1ll\u00edtva az ilyen t\u00e1mad\u00e1sok v\u00e9delm\u00e9re (IOMMU).\n
Regresszi\u00f3k a funkcionalit\u00e1sban \u00e9s a teljes\u00edtm\u00e9nyben, amelyek a jogosults\u00e1gok \u00e9s korl\u00e1tok be\u00e1ll\u00edt\u00e1s\u00e1val kik\u00fcsz\u00f6b\u00f6lhet\u0151k. <\/ul>\n