Se publicaron 432 CVE del kernel de Linux en solo dos días, generando preocupación entre los administradores de sistemas por la dificultad de priorizar tantos parches. Se especula que el uso de IA para buscar errores ha incrementado drásticamente el volumen de reportes. Expertos sugieren que las actualizaciones automatizadas son la única salida viable, aunque resultan difíciles de implementar en grandes organizaciones.



Si eres responsable de la seguridad de Linux, alguien acaba de dejarte una montaña de trabajo sobre el escritorio: se publicaron 432 CVE del kernel de Linux entre el domingo y el lunes de esta semana. Los observadores de Linux en nixCraft señalaron el volumen el lunes por la mañana, y no pasó mucho tiempo antes de que los administradores de sistemas experimentados empezaran a expresar su preocupación.

Jan Schaumann, arquitecto jefe de seguridad de la información en Akamai Technologies, utilizó la lista de correo OSS-SEC el martes para expresar su preocupación sobre el volumen abrumador de CVE del kernel de Linux publicados en los últimos días. Además de señalar que el sistema CVE no es la mejor manera de rastrear los cambios de seguridad, Schaumann también se preguntó en su publicación si existía alguna forma eficaz de lidiar con tantos problemas de seguridad del kernel.

“Esta embestida realmente demuestra que no es viable intentar priorizar los cambios individuales del kernel”, afirmó Schaumann.

“Podrías intentar procesar este gran conjunto de cambios apuntando un LLM a la entrada y pidiéndole que los priorice”, sugirió, “pero si te escupe una docena hoy y otra 25 mañana, no habrás ganado mucho”.

Schaumann también sugirió esperar a ver cuáles emergen como problemas graves y centrarse en esos en las semanas siguientes, o actualizar toda la flota de máquinas Linux semanalmente.

“Me gustaría mucho poder hacer [eso], pero la realidad se interpone en mi camino”, dijo Schaumann. “No estoy seguro de qué hacer aquí de ahora en adelante”.

En un correo electrónico, Schaumann dijo que revisar individualmente las vulnerabilidades para aplicar parches ya era suficientemente difícil antes de que las cosas llegaran a este nivel, y que la automatización puede ser la única opción, aunque no es una gran alternativa.

"Las actualizaciones automatizadas, regulares y frecuentes que incluyan todos los cambios dentro de una ventana de tolerancia temporal me parecen el único enfoque razonable, pero eso es muy difícil para muchas organizaciones grandes", explicó Schaumann. Dichas organizaciones a menudo dependen de procesos de control de calidad prolongados, ciclos de desarrollo lentos y escalonados, e incluso pueden tener requisitos contractuales de soporte a largo plazo que hacen que un enfoque automatizado sea imposible.

El equipo de nixCraft especuló en las redes sociales que los informes de errores generados por IA son una razón probable para todos esos CVE del kernel, lo cual no carecería de precedente; el propio Linus Torvalds dijo en mayo que la lista de correo de seguridad del kernel de Linux se había vuelto “casi totalmente inmanejable” debido a la búsqueda de errores asistida por IA. No obstante, Torvalds ha descrito la IA como una herramienta útil para el desarrollo de Linux, aunque señaló que puede ser una carga para los mantenedores, tanto por la carga de trabajo como por el hecho de que "sigue encontrando errores vergonzosos".

En ese sentido, vale la pena entender qué significa realmente un CVE del kernel de Linux: muchas de las vulnerabilidades incluidas en el lote de domingo a lunes son de alcance reducido, pero siguen siendo vulnerabilidades.

Como señaló el mantenedor sénior de Linux Greg Kroah-Hartman en una publicación de blog de febrero sobre el proceso de asignación de CVE de Linux, el equipo de CVE del kernel de Linux sigue la definición de vulnerabilidad del Programa CVE: una debilidad en un producto que puede afectar negativamente la confidencialidad, integridad o disponibilidad de un sistema.

“Al nivel en que se ejecuta el kernel de Linux, casi cualquier tipo de error que pueda afectar a un sistema en funcionamiento puede clasificarse como una vulnerabilidad”, señaló Kroah-Hartman. El equipo del kernel revisa cada corrección de errores que se añade a las versiones estables del kernel y, si soluciona un problema que cumple los criterios de CVE, se asigna uno.

La búsqueda de errores asistida por IA ha aumentado el volumen de informes que llegan a los mantenedores del kernel de Linux. Nos pusimos en contacto con el equipo del kernel de Linux, pero no recibimos respuesta. Kroah-Hartman dijo anteriormente este año que los informes de errores de IA se habían vuelto valiosos en los últimos meses, y predijo que es probable que sigan aumentando su carga de trabajo.

Desafortunadamente para los administradores de sistemas Linux, la posición en la que se encuentran en este caos actual no es fácil de resolver. Los CVE pueden ser una forma desordenada de rastrear y priorizar las actualizaciones de seguridad, especialmente cuando se publican cientos en un corto período, pero sin algo mejor, corresponde a los equipos de TI y seguridad determinar qué vulnerabilidades afectan a sus sistemas y qué actualizaciones del kernel deben desplegar.

Esperemos que tengan la cafetera llena: es poco probable que la embestida disminuya si otros ciclos de parches recientes sirven de indicación. ®

Fuente:
TheRegister