Linuxカーネルの脆弱性レポート、誤って公開メーリングリストに投稿される
Several Linux kernel vulnerabilities accidentally posted to public mailing list
Trend MicroのZero Day Initiativeが、複数のLinuxカーネル脆弱性レポートを非公開のセキュリティ用ではなく公開のLKMLに誤って投稿した。CVSSスコアは最大9.0に達し、SMB Directのリモートコード実行やKSMBDの競合状態、VMWGFXの境界外書き込みなどが含まれる。多くは未修正で、Greg Kroah-Hartmanが各報告に公開リストへの投稿理由を問い合わせている。
LinuxのNo.2であるGreg Kroah-Hartmanが、各レポートに返信して公開メーリングリストへの投稿について尋ねた。
HNでの議論
84- wongarsu
Linuxカーネルは、AIを使って発見されたカーネルの脆弱性については公開メーリングリストで報告することを推奨しているんじゃなかったっけ？ 記憶が正しければ、セキュリティメーリングリストが同じ脆弱性に対する複数の報告で溢れかえった後に、そのポリシーを導入したはずだ。
- lynndotpy
まだ目がしょぼしょぼしているけど：最も深刻なものはSMBとKSMBDにあり、これらはどうやらカーネル空間に実装があるらしい。KMBを使っていない人には影響ないと思う。
他はLPEだけど、二つは今では削除されているから、詳細は確信が持てない。
TrendMicroのサイトは「Anthropicと共にAIネイティブセキュリティを推進」という大きな大きな文言で始まる。まあ、辻褄は合ってると思う。
- dayofthedaleks
見出しにはTrend Microの名前を入れて晒すべきだ。素人仕事だな。
- jeanpah
AIでバグのないOSディストロやプログラミング言語、つまりある種の完璧さを達成できると思う？
- extraextra
なんて楽しい季節なんだ、このシミュレーションは。