CVE-2025-38352

Суть уязвимости

• Уязвимость CVE-2025-38352 представляет собой состояние гонки (Race Condition) класса TOCTOU (Time-of-Check Time-of-Use) в ядре Linux.
• Проблема возникает из-за временного зазора между моментом, когда ядро проверяет состояние или права доступа к ресурсу (Check), и моментом, когда оно фактически использует этот ресурс (Use).
• В этот короткий промежуток времени локальный злоумышленник может подменить ресурс (например, через символические ссылки или манипуляции с памятью).
• Успешная эксплуатация позволяет обойти механизмы безопасности ядра, что ведет к несанкционированному доступу, повышению привилегий до уровня root или вызову отказа в обслуживании (критичное влияние на конфиденциальность, целостность и доступность).

Как исправить

• Основной и единственный гарантированный метод устранения — установка официального патча от мейнтейнеров вашего дистрибутива путем обновления ядра.
• Для систем на базе Debian/Ubuntu обновите пакеты ядра:

apt update && apt upgrade linux-image-generic linux-headers-generic

• Для систем на базе RHEL/CentOS/AlmaLinux/Rocky Linux выполните обновление:

dnf update kernel

• Для систем на базе Arch Linux:

pacman -Syu linux

• После установки обновленного ядра система должна быть перезагружена для загрузки пропатченной версии в память:

reboot

Временные меры

• Если немедленная перезагрузка или обновление невозможны, примените следующие компенсирующие контроли для снижения поверхности атаки.
• Включите строгую защиту от манипуляций с жесткими и символическими ссылками (основной вектор эксплуатации файловых TOCTOU уязвимостей):

sysctl -w fs.protected_symlinks=1

sysctl -w fs.protected_hardlinks=1

• Отключите возможность создания непривилегированных пространств имен (User Namespaces), так как они часто используются для подготовки среды под эксплуатацию состояний гонки в ядре:

sysctl -w kernel.unprivileged_userns_clone=0

• Для применения настроек sysctl на постоянной основе (после перезагрузки), добавьте их в конфигурационный файл:

echo "fs.protected_symlinks=1" >> /etc/sysctl.d/99-mitigations.conf

echo "fs.protected_hardlinks=1" >> /etc/sysctl.d/99-mitigations.conf

echo "kernel.unprivileged_userns_clone=0" >> /etc/sysctl.d/99-mitigations.conf

• Настройте профили SELinux или AppArmor в режим Enforcing для изоляции критичных сервисов и ограничения их доступа к системным вызовам, которые могут быть затронуты уязвимостью.