Doporučená akce: aplikujte záplatu podle pokynů dodavatele příslušné linuxové distribuce. U běžných distribucí, jako jsou Red Hat, SUSE, Ubuntu, Debian nebo Amazon Linux, je vhodné ověřit dostupnost aktualizovaného balíku jádra, provést standardní aktualizaci a následně naplánovat restart systému. U systémů s vlastním buildem kernelu je nutné zapracovat odpovídající upstream patch a nasadit nový kernel image. V cloudových prostředích je třeba ověřit, zda poskytovatel používá managed kernel, zda bude záplata nasazena automaticky a zda je vyžadován restart virtuálních strojů nebo nodů.

V prostředí kritické infrastruktury, kde restart serverů, průmyslových bran nebo podpůrných systémů často vyžaduje plánovanou odstávku, je vhodné před nasazením záplat vyhodnotit i dočasná kompenzační opatření. Mezi ně může patřit omezení interaktivního přístupu na servery, revize účtů s možností spouštět kód, posílení monitoringu privilegovaných příkazů, kontrola segmentace sítě a ověření, zda zranitelné systémy nejsou dostupné z méně důvěryhodných částí infrastruktury.

Zvláštní pozornost by měly věnovat organizace provozující kontejnery, CI/CD platformy, sdílené linuxové servery a systémy, kde se spouští kód od více týmů nebo dodavatelů. V těchto prostředích se lokální eskalace oprávnění může stát klíčovým článkem útoku, který útočníkovi umožní přejít od omezeného přístupu k úplné kompromitaci hostitelského systému.

Provozovatelé povinní podle NIS2 a českého zákona o kybernetické bezpečnosti by měli tuto zranitelnost zařadit mezi prioritní položky v rámci řízení zranitelností a řízení rizik. Vedle samotného nasazení záplat je vhodné doložit i rozhodnutí o prioritizaci, plán odstávek, přijatá kompenzační opatření a následné ověření, že zranitelné verze kernelu již nejsou v prostředí používány.

CISA