أصدرت شركة Canonical تحديثاً أمنياً حرجاً يحمل الرمز USN-8636-1، يعالج ثغرات متعددة داخل نواة لينكس (Linux Kernel) الخاصة بأنظمة Ubuntu. قد تسمح هذه الثغرات للمهاجمين باختراق الأجهزة المتأثرة بالكامل، مما يستدعي تدخلاً عاجلاً من مسؤولي الأنظمة والمستخدمين لتطبيق أحدث التصحيحات فوراً.
تمتد هذه الثغرات لتشمل مساحة واسعة من النواة، وتؤثر على كل شيء بدءاً من إدارة الذاكرة الأساسية وصولاً إلى تعريفات أجهزة محددة. ونظراً لوجود هذه العيوب على مستوى النواة، فإن الاستغلال الناجح لها يتجاوز ضوابط الأمان القياسية الخاصة بمساحة المستخدم، مما يمنح المهاجمين وصولاً عميقاً إلى نظام التشغيل.
الأنظمة الفرعية المتأثرة في النواة
يعالج هذا التحديث الشامل عيوباً أمنية عبر مجموعة واسعة من الأنظمة الفرعية والتعريفات الحيوية. تشمل المكونات المصححة ما يلي:
- معمارية x86
- تعريفات InfiniBand
- تعريفات الوسائط
- تعريفات الشبكة (بما في ذلك تعريفات شركة Mellanox وشركة Texas Instruments)
- تعريفات NVME
- البنية التحتية لأنظمة الملفات ونظام ملفات الشبكة SMB
- شبكات IPv4 وشبكات IPv6
- التحكم في حركة مرور الشبكة
- بروتوكولات الشبكة TCP، وMultipath TCP، وSCTP
- أوليات القفل (Locking primitives)
- إدارة الذاكرة (Memory management)
- إطار عمل Netfilter
- مآخذ جلسات RxRPC
- مآخذ SMC
كيفية التحديث والتعامل مع تغييرات واجهة ABI
يتطلب تطبيق هذا التصحيح انتباهاً خاصاً بسبب تغيير حتمي في واجهة التطبيقات الثنائية (ABI). تم منح تحديثات النواة رقم إصدار جديد، مما يؤثر بشكل مباشر على التكوينات المخصصة للنظام.
- قم بتشغيل ترقية قياسية للنظام باستخدام مدير الحزم الخاص بك لجلب النواة الجديدة.
- إذا كنت تعتمد على وحدات نواة من جهات خارجية، فيجب عليك إعادة تجميعها وتثبيتها يدوياً لتتطابق مع واجهة ABI الجديدة.
- تحقق من تثبيت الحزم الوصفية القياسية للنواة (مثل حزمة linux-generic، أو حزمة linux-generic-lts-RELEASE، أو حزمة linux-virtual، أو حزمة linux-powerpc)، حيث ستقوم هذه الحزم بأتمتة عملية الترقية.
- أعد تشغيل النظام لتحميل النواة المصححة في الذاكرة.
للحصول على حماية طويلة الأمد، تشير شركة Canonical إلى أن خدمة Ubuntu Pro توفر تغطية أمنية لمدة عشر سنوات لأكثر من 25,000 حزمة في مستودعات Main وUniverse، وهي خدمة مجانية لما يصل إلى خمسة أجهزة.
التكلفة الخفية لتغييرات ABI في التصحيحات الروتينية
في حين أن تصحيح ثغرات النواة يُعد ممارسة قياسية، فإن تضمين تغيير في واجهة ABI ضمن تحديث USN-8636-1 يحول هذا الأمر من تحديث روتيني إلى خطر تشغيلي محتمل لبيئات المؤسسات. عندما تتغير واجهة ABI، فإن أي تعريفات مغلقة المصدر أو خارجية - وأبرزها تعريفات رسوميات شركة Nvidia أو وحدات التخزين المخصصة للمؤسسات - ستتوقف عن العمل فوراً عند إعادة التشغيل ما لم تتم إعادة تجميعها لتتوافق مع ترويسات النواة الجديدة.
يُبرز هذا الموقف الأهمية القصوى لاستخدام دعم وحدات النواة الديناميكية (DKMS) في بيئات الإنتاج. ستقوم الأنظمة المهيأة باستخدام أداة DKMS بإعادة بناء هذه الوحدات الخارجية تلقائياً أثناء عملية ترقية الحزم، مما يمنع حدوث أعطال كارثية عند الإقلاع. بالنسبة للمسؤولين الذين يديرون أساطيل من خوادم Ubuntu دون استخدام أداة DKMS، يتطلب هذا التحديث جدولة نافذة صيانة دقيقة بدلاً من مجرد نشر آلي بسيط للتصحيحات.
