Thought Leadership
In gut 24 Stunden wurden 432 CVEs für den Linux-Kernel veröffentlicht. Grund sind eine Aufholjagd bei Prüfungen und die Zunahme von KI-gestützten Meldungen.
Innerhalb von etwas mehr als 24 Stunden wurden über 430 neue Common Vulnerabilities and Exposures (CVEs) für den Linux-Kernel registriert. Die hohe Anzahl führte zu Diskussionen unter Systemadministratoren über die Handhabbarkeit einzelner Sicherheitsmeldungen. Ein wesentlicher Treiber für die steigende Zahl gemeldeter Programmierfehler ist der verstärkte Einsatz von KI-gestützten Werkzeugen und großen Sprachmodellen bei der Quelltextanalyse. Bereits im Mai wies Linus Torvalds darauf hin, dass KI-basierte Fehlermeldungen die Bearbeitung der Kernel-Sicherheitsliste erschweren, da automatisierte Systeme fortlaufend Fehler im Code identifizieren.
Jan Schaumann äußerte in der Mailingliste OSS Security seine Bedenken zur Handhabung der hohen Anzahl an Meldungen: „Ich verstehe den Standpunkt, dass CVEs schon immer ein mangelhafter Weg waren, um Sicherheitsänderungen zu verfolgen oder zu priorisieren… Aber dieser Ansturm zeigt wirklich, dass es nicht machbar ist, einzelne Kernel-Änderungen zu priorisieren. Ich bin mir nicht sicher, wie es hier weitergehen soll.“
Stellungnahme von Greg Kroah-Hartman zur Veröffentlichungswelle
Der leitende Kernel-Betreuer Greg Kroah-Hartman stellte klar, dass der sprunghafte Anstieg auf die Abarbeitung einer mehrwöchigen Prüfwarteschlange zurückzuführen sei, die sich während mehrerer Konferenzen und Urlaubszeiten aufgestaut hatte. Er wies darauf hin, dass das Aufkommen an Schwachstellen kein isoliertes Phänomen des Linux-Kernels sei, sondern Unternehmen generell dazu zwinge, ihre Aktualisierungsprozesse zu überdenken. Der Kernel-Entwickler sprach sich für kontinuierliche Systemaktualisierungen aus:
„Das ist es, was die Kernel-Entwicklergemeinschaft empfiehlt und unterstützt. Wenn Sie Unterstützung von uns wollen, tun Sie dies. Nutzen Sie einfach Debian oder Yocto, da deren Sicherheitspraktiken hervorragend sind.“
Greg Kroah-Hartman, leitender Kernel-Betreuer
In Bezug auf den Versuch, nur einzelne CVEs selektiv zu patchen, kommentierte Kroah-Hartman: „Viel Glück damit!“
Empfehlungen für Aktualisierungsstrategien und Automatisierung
Kroah-Hartman empfiehlt Systembetreibern, vom manuellen Prüfen einzelner CVEs abzusehen und stattdessen automatisierte Verfahren zu nutzen oder vollständige Kernel-Updates einzuspielen. Enterprise-Distributionen filtern Sicherheitsmeldungen automatisiert, indem sie die von den CVEs betroffenen Dateien mit den tatsächlich kompilierten Komponenten abgleichen, was den Prüfaufwand auf etwa zehn Prozent der Gesamtzahl reduziert.
Hinsichtlich der zukünftigen Entwicklung durch KI-basierte Werkzeuge betonte Kroah-Hartman: „Die Zahl der von LLMs gefundenen Probleme nimmt derzeit erst zu. Es wird mindestens 18 sehr lange Monate dauern, bis wir uns aus diesem Schlamassel herausgearbeitet haben, und die Leute sollten ihre Systeme auf dem gesamten Weg BESSER aktualisieren, wenn sie in irgendeiner Weise sicher sein wollen.“
(red)
