Múlt héten két kritikus Linux kernel sebezhetőséget hoztak nyilvánosságra, ami komoly aggodalmat keltett a közösségben. Válaszul a fejlesztők most egy javaslatot vizsgálnak egy vészhelyzeti „killswitch” mechanizmusra, amely a súlyos sebezhetőségek nyilvános leleplezése után csökkentené a kitettséget.

A javítócsomagot Sasha Levin, az NVIDIA mérnöke és a Linux stabil kernel társkarbantartója küldte be. A megoldás lehetővé teszi a rendszergazdáknak, hogy ideiglenesen letiltsanak egy sebezhető kernel funkciót, amíg meg nem érkezik a biztonsági frissítés.

Az elképzelés egyszerű: ha azonosítanak egy veszélyes kódfolyamatot, a kernel-t utasíthatják, hogy ne használja azt a funkciót. A funkció a normál végrehajtás helyett hibát ad vissza. Ez ugyan nem oldja meg az alapvető hibát, de elzárhatja a hozzáférést a sebezhető útvonalhoz addig, amíg elérhetővé nem válik egy javított kernel.

A javaslat a közelmúltbeli Linux kernel sebezhetőségi leleplezéseket követi, köztük a Copy Fail és a Dirty Frag esetét. A Copy Fail különösen releváns, mert a javítócsomag tartalmaz egy öntesztet, amely a CVE-2026-31431 hivatkozásával bemutatja, hogyan blokkolhatná a killswitch az érintett

AF_ALG

útvonalat.

A Dirty Frag nem szerepel közvetlen tesztesetként, de szintén ide tartozik, és rávilágít a tágabb problémára: súlyos kernel hibák nyilvánosságra kerülhetnek, mielőtt a javítások széles körben elérhetővé válnának. Ebben az időszakban a rendszergazdáknak szükségük lehet egy átmeneti módszerre a kockázat csökkentéséhez anélkül, hogy kivárnák a teljes frissítési ciklust.

Levin javítócsomagja a kernel securityfs felületén keresztül teszi elérhetővé a funkciót. Egy megfelelő jogosultságokkal rendelkező rendszergazda bekapcsolhatja a killswitch-et egy adott funkcióra, amitől az azonnal hibával leáll. A változás futás közben lép életbe, és addig marad aktív, amíg ki nem kapcsolják, vagy a rendszert újra nem indítják.

A javaslat olyan kódfolyamatokat céloz, amelyekre a legtöbb rendszernek nincs napi szinten szüksége. Levin példaként olyan területeket említ, mint az

AF_ALG

, a

ksmbd

, az

nf_tables

, a

vsock

és az

ax25

. Bizonyos környezetekben ezek ideiglenes letiltása kisebb fennakadást okozhat, mint egy ismert sebezhetőséget tartalmazó kernel futtatása.

A funkció ugyanakkor egyértelmű kockázatokat hordoz. A javítócsomag nem tartalmaz automatikus biztonsági ellenőrzéseket annak megállapítására, hogy egy funkció biztonságosan letiltható-e. Ha valaki rossz funkciót tilt le, vagy a funkció nem megfelelő értéket ad vissza, az megzavarhatja a rendszer működését, vagy új problémákat okozhat. Éppen ezért nem általános célú, hétköznapi használatra szánt biztonsági kapcsolóról van szó.

Fontos azt is egyértelművé tenni, hogy ez a mechanizmus nem élő javítás. Nem cseréli le a sebezhető kódot egy javított verzióra, csak megakadályozza, hogy a kiválasztott funkció lefusson. A sebezhetőség megfelelő kezeléséhez továbbra is teljes kernel frissítésre van szükség. Legfeljebb vészhelyzeti kockázatcsökkentő eszközt adhat a nyilvános leleplezés és a javítócsomagok teljes körű telepítése közötti időszakra.

Jelenleg a killswitch javítócsomag még felülvizsgálat alatt áll, és nem fogadták be a Linux kernel-ba.