Alcune vulnerabilità gravi del kernel Linux sono finite su una mailing list pubblica prima che fossero corrette nel ramo principale. Le segnalazioni comprendono falle con un punteggio CVSS fino a 9, nella scala utilizzata per classificare la gravità dei problemi di sicurezza: i dettagli sui possibili vettori di attacco sono così diventati accessibili mentre i problemi risultavano ancora aperti.
L'incidente riguarda l'invio di diversi rapporti di sicurezza al canale sbagliato. Le comunicazioni sono state recapitate a una mailing list pubblica, anziché a quella privata destinata a questo tipo di segnalazioni. L'errore ha esposto le informazioni sulle vulnerabilità prima del completamento del lavoro necessario a correggerle.
I rapporti sembrano provenire dalla Zero Day Initiative di Trend Micro, un programma nato per promuovere la segnalazione delle vulnerabilità. L'iniziativa utilizza un sistema di ricompense, il cosiddetto bug bounty, che coinvolge anche ricercatori esterni: il problema emerso riguarda quindi la procedura con cui le segnalazioni sono state trasmesse.
A intervenire è stato Greg Kroah-Hartman, che si occupa della manutenzione del ramo stabile del kernel. Lo sviluppatore ha risposto singolarmente ai rapporti, chiedendo di correggere la procedura di invio. La sua richiesta riguarda il percorso seguito dalle comunicazioni di sicurezza, finite direttamente in uno spazio consultabile pubblicamente.
Sul fronte delle correzioni, alcuni interventi sono già in fase di test oppure in coda nei rami beta o «-next». Il lavoro sulle patch procede quindi attraverso versioni di sviluppo, mentre al momento descritto dalle segnalazioni nessuna delle vulnerabilità risultava risolta nel kernel principale.
Il caso riguarda anche l'ecosistema di SteamOS, basato su Linux, e le altre distribuzioni utilizzate per giocare su PC. A seconda del sistema scelto, alcune correzioni potrebbero essere accessibili passando a un ramo beta; la loro presenza va però verificata per la specifica distribuzione, senza dare per scontato che ogni aggiornamento sperimentale le contenga.
