Linux-palvelinten tietoturva edellyttää sekä ajantasaista ydintä että hallittuja käyttöoikeuksia. Linux-ytimen AF_ALG-rajapintaan liittyvä CVE-2025-39964 voi mahdollistaa paikalliselle, vähäoikeuksiselle käyttäjälle oikeuksien nostamisen pääkäyttäjän eli rootin tasolle. Yrityksen tärkein toimenpide on tarkistaa oman Linux-jakelun korjaustilanne ja varmistaa, että korjattu ydin on myös käytössä.
Kyse ei ole sellaisenaan internetin yli toimivasta murtautumisreitistä. Hyökkääjä tarvitsee ensin mahdollisuuden suorittaa koodia haavoittuvassa ympäristössä. Tällainen pääsy voi kuitenkin syntyä esimerkiksi sovellusmurron tai vaarantuneen käyttäjätilin kautta.
Mitä Linux-ytimen haavoittuvuudesta tiedetään?
CVE-2025-39964 liittyy Linux-ytimen AF_ALG-rajapinnan kilpailutilanteeseen. AF_ALG tarjoaa sovelluksille pääsyn ytimen salauspalveluihin. Kilpailutilanteessa samanaikaisten toimintojen ajoitus voi johtaa virheelliseen toimintaan, jota hyökkääjä voi hyödyntää oikeuksien korottamiseen.
Haavoittuvuuden yhteydessä on kuvattu myös koeympäristössä toteutettu hyökkäys Docker-kontista isäntäkoneeseen. Koeympäristön onnistunut hyökkäys osoittaa mahdollisen riskin, mutta ei todista kaikkien Docker-ympäristöjen olevan haavoittuvia tai hyökkäysten tapahtuneen tuotantopalveluissa. Vaikutus on arvioitava käytössä olevan ytimen, asetusten ja hyökkääjän käytettävissä olevien toimintojen perusteella.
Miksi paikallinen haavoittuvuus on yritykselle tärkeä?
Paikallinen oikeuksienkorotus voi muuttaa yhden sovelluksen tai käyttäjätilin vaarantumisen koko palvelimen hallinnan menetykseksi. Root-oikeuksilla hyökkääjä voi päästä käsiksi palvelimen tietoihin, muuttaa järjestelmän asetuksia ja häiritä samalla koneella toimivia palveluita.
Esimerkiksi Linux-palvelimella toimivan WordPress-sivuston suojaus ei pääty lisäosien päivittämiseen. Jos sovellushaavoittuvuus mahdollistaa koodin suorittamisen palvelimella, ytimen haavoittuvuus voi tarjota seuraavan vaiheen hyökkäykselle. WordPress-ylläpito ja käyttöjärjestelmän ylläpito ovat siksi toisiaan täydentäviä tehtäviä.
Suomi Solutionsin Linux-tietoturvatarkastuksessa voidaan selvittää palvelinympäristön päivitystilanne, tarpeettomat käyttöoikeudet ja ulospäin näkyvät palvelut. Tarkoitus on tunnistaa, missä rajattu pääsy voisi laajentua liiketoiminnan jatkuvuutta uhkaavaksi ongelmaksi, ja asettaa korjaukset käytännölliseen järjestykseen.
Miten tarkistan, koskeeko haavoittuvuus omaa palvelinta?
Haavoittuvuus tarkistetaan Linux-jakelun tietoturvatiedotteesta ja palvelimella käytössä olevasta ydinpaketista. Pelkkä ytimen versionumeron vertaaminen verkossa mainittuun versioon ei aina riitä, sillä jakelutoimittaja voi sisällyttää korjauksen ylläpitämäänsä vanhempaan versioon.
- Tunnista ympäristö: kirjaa Linux-jakelu, sen tukitilanne, asennetut ydinpaketit ja parhaillaan käytössä oleva ydin. Komento uname -r näyttää käytössä olevan ytimen version, mutta ei yksin ratkaise haavoittuvuutta.
- Tarkista jakelun arvio: hae CVE-2025-39964 jakelutoimittajan tietoturvatiedoista ja tarkista mahdollinen korjattu pakettiversio sekä ympäristökohtaiset ehdot.
- Huomioi konttien isännät: tavalliset Linux-kontit jakavat isäntäkoneen ytimen. Konttikuvan päivittäminen ei siksi korjaa isäntäjärjestelmän ydintä.
- Varmista korjauksen käyttöönotto: asenna toimittajan korjaus ja suunnittele tarvittaessa hallittu uudelleenkäynnistys. Tarkista tämän jälkeen käytössä oleva ydin ja palveluiden toiminta.
Pilvipalvelussa on lisäksi selvitettävä vastuunjako. Virtuaalikoneen käyttöjärjestelmän päivittäminen kuuluu usein asiakkaalle, kun taas hallitun konttipalvelun vastuut riippuvat palvelumallista. Ylläpitäjän nimi ja korjauksen toteuttaja kannattaa kirjata palvelinkohtaisesti.
Mitä yrityksen kannattaa korjata ensin?
Korjausjärjestys kannattaa muodostaa liiketoimintavaikutuksen ja hyökkääjän mahdollisen pääsyn perusteella. Erityistä huomiota tarvitsevat kriittiset palvelimet, useiden käyttäjien ympäristöt sekä järjestelmät, joissa suoritetaan ulkopuolisten toimittamaa koodia. Internetiin näkyvä sovellus voi muodostaa ensimmäisen pääsyreitin, vaikka ytimen haavoittuvuus edellyttää paikallista suorittamista.
Suomi Solutionsin suositus on käsitellä korjausta valmiina vasta, kun sen käyttöönotto ja palvelun toimivuus on todennettu. Asennettu päivityspaketti ei yksin osoita, että palvelin käyttää korjattua ydintä. Päivitysten toteutuksen yhteydessä voidaan sopia huoltoikkunasta, palautumismenettelystä ja tarkistuksista, joilla käyttökatkon riskiä hallitaan.
Päivitysten rinnalla on syytä poistaa tarpeettomat käyttäjätunnukset, rajata ylläpito-oikeudet ja arvioida konttien oikeudet. Epätavallisia kirjautumisia, oikeuksien muutoksia ja palveluasetusten muokkauksia kannattaa seurata. Yksittäisen lokimerkinnän puuttuminen ei kuitenkaan osoita, ettei palvelinta olisi vaarannettu.
Mitä Linux-tietoturvapalvelulta kannattaa pyytää?
Hyödyllinen tarkastus tuottaa muutakin kuin listan havaintoja. Yritys tarvitsee tiedon siitä, mitä palvelinta havainto koskee, miten se vaikuttaa toimintaan, kuka korjaa puutteen ja miten korjaus varmennetaan.
Suomi Solutionsin kanssa Linux-tietoturvatarkastuksen jatkotoimiksi voidaan sopia päivitysten hallinta ja palvelimen koventaminen eli tarpeettomien toimintojen ja oikeuksien rajaaminen. Jatkuvan valvonnan tarve arvioidaan sen mukaan, mitä ympäristössä käsitellään ja kuka reagoi havaintoihin.
Jos oman palvelinympäristön korjaustilanne tai ylläpitovastuu on epäselvä, aloita rajatusta kartoituksesta. Ota yhteyttä Suomi Solutionsiin Linux-tietoturvatarkastuksesta, niin selvitetään ympäristöösi sopiva tarkastuksen laajuus ja käytännön toimenpiteet.
