Des détails sur plusieurs failles du noyau Linux se sont retrouvés sur une liste publique avant la fin des corrections. Phoronix a signalé le 22 octobre cette divulgation apparemment accidentelle de rapports de la Zero Day Initiative. Certains problèmes atteignent 9 sur 10 sur l’échelle CVSS, avec des conditions d’exposition qui varient selon les composants utilisés.
Le score traduit la gravité évaluée d’un problème, pas le risque individuel de chaque PC. Un service réseau exposé et un composant utilisable seulement avec un accès local ne présentent pas la même situation. L’erreur de diffusion devance le travail des équipes chargées de préparer les mises à jour.
Un serveur de fichiers et un PC de jeu n’exposent pas les mêmes composants
Le reportage original de Phoronix cite des problèmes dans SMB Direct et KSMBD, ainsi que d’autres composants réseau, graphiques ou de stockage. Les rapports proviennent de la Zero Day Initiative de Trend Micro et ont été transmis à la liste publique LKML.
Certains défauts sont décrits comme permettant une exécution de code à distance ; d’autres concernent une élévation locale de privilèges ou une divulgation d’informations. Ces mécanismes supposent des conditions différentes. Une faille locale exige déjà un accès ou une capacité d’exécution sur la machine ; un problème de service réseau pose une autre question d’exposition.
Le noyau couvre un très grand nombre d’usages. La présence d’un défaut dans son code ne suffit donc pas à affirmer que chaque installation Linux possède le composant actif et accessible. Un serveur de fichiers, une machine virtuelle et une console portable ne présentent pas nécessairement les mêmes interfaces aux autres appareils.
Suivre le correctif de sa distribution plutôt que changer de canal au hasard
Au moment du premier reportage, des changements existaient dans des branches de travail pour certains problèmes, tandis que d’autres restaient à traiter. Une correction écrite, une intégration au noyau et un paquet publié par une distribution sont des étapes distinctes.
Pour l’utilisateur, la référence est l’avis de sécurité de sa distribution et la version corrigée qu’il propose. Comparer uniquement de grands numéros de noyau peut être trompeur : une distribution peut reprendre un correctif dans une branche qu’elle continue de maintenir.
La reprise destinée aux joueurs, publiée le 23 octobre, ne transforme pas cet incident du 22 en nouvelle divulgation. Elle ne justifie pas non plus de recommander à tous un passage en bêta. Le choix du canal de mise à jour dépend du système concerné et de ses correctifs disponibles.
Le point à suivre est ainsi l’arrivée des versions corrigées pour chaque environnement réellement utilisé. C’est cette information qui permet d’agir, plutôt que d’assimiler une série de rapports techniques à une vulnérabilité identique sur toutes les machines Linux.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
