In Breve
- Quali sono le vulnerabilità segnalate dalla CISA?
- Le vulnerabilità segnalate sono CVE-2025-39682, CVE-2026-53266 e CVE-2025-39964.
- Qual è il termine per la correzione delle vulnerabilità?
- Il termine per la correzione è fissato a tre giorni dalla segnalazione, scadendo il 21 settembre 2026.
- Quali misure di mitigazione sono disponibili?
- Le misure includono l'impedimento del caricamento del modulo tls e la disabilitazione della riscrittura degli indirizzi hardware ARP.
La Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente inserito tre vulnerabilità del kernel Linux nel suo catalogo delle Known Exploited Vulnerabilities (KEV). Queste falle rappresentano un rischio significativo per la sicurezza dei sistemi e richiedono interventi rapidi da parte degli utenti. Il termine per la correzione è fissato a tre giorni dalla segnalazione, scadendo il 21 settembre 2026.
Le vulnerabilità identificate sono:
- CVE-2025-39682: punteggio di gravità 9.8/10 (critica)
- CVE-2026-53266: punteggio di gravità 8.8/10 (alta)
- CVE-2025-39964: punteggio di gravità 7.8/10 (alta)
Tutte e tre le vulnerabilità sono state corrette nelle rispettive versioni del kernel. In particolare:
- CVE-2025-39682 è stata risolta nelle release stabili 6.1.149, 6.6.103, 6.12.44 e 6.16.4.
- CVE-2025-39964 è stata corretta nelle release 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 e 6.16.9.
- CVE-2026-53266 è stata corretta upstream e backportata su rami stabili e distributivi, inclusi 5.10.259, 6.1.176 e 6.12.94.
Le vulnerabilità consentono, a seconda del caso, la divulgazione di memoria o il denial of service (CVE-2025-39682), scritture fuori dai limiti nell’implementazione ebtables SNAT ARP rewrite con possibile escalation di privilegi o DoS da parte di attaccanti locali (CVE-2026-53266), e una race condition che permette scritture concorrenti sullo stesso socket AF_ALG, portando a crash del sistema o corruzione dei risultati di operazioni crittografiche (CVE-2025-39964).
È importante notare che CVE-2025-39682 potrebbe essere attivabile da remoto solo su sistemi che utilizzano il percorso di ricezione kTLS; le altre due vulnerabilità sono sfruttabili localmente.
Per mitigare i rischi associati a queste falle, sono disponibili alcune misure parziali. Per CVE-2025-39682, si consiglia di impedire il caricamento del modulo tls. Per CVE-2026-53266, è raccomandato di disabilitare la riscrittura degli indirizzi hardware ARP nelle regole ebtables SNAT o di rimuovere tali regole su interfacce bridge. Per CVE-2025-39964, non è indicata una mitigazione efficace oltre all’applicazione delle patch.
Red Hat ha confermato che queste vulnerabilità sono già oggetto di sfruttamento in attacchi reali e le ha classificate come ad alto rischio, segnalando l’esistenza di exploit pubblici e raccomandando una correzione con priorità elevata.
Le vulnerabilità del kernel Linux sono trattate come criticità variabili in base al contesto di distribuzione e utilizzo. Nelle settimane precedenti, sono stati pubblicati altri exploit locali di escalation privilegi, tra cui DirtyAH6, TUNderflow, PPPoEject e DiagSpill.
