Вендор говорит «закрыто» — а дыра всё ещё открыта

🔍 CVE в ядре Linux закрывается в mainline за дни. Но в RHEL 8 или Ubuntu LTS тот же патч может прийти через месяц — или прийти «кастрированным», когда attack surface остался нетронутым.

Именно так работал CVE-2024-1086: use-after-free в nf_tables, CVSS 7.8, публичный эксплоит с 99.4% успешностью — а backport в ветку 5.15 всё ещё ждал очереди.

Проблема глубже:
• Неполный cherry-pick — из трёх нужных коммитов в stable попали два
• Конфликт адаптации — патч компилируется, тесты проходят, дыра остаётся
• Потеря связи — backport меняет commit hash, и grep CVE-xxxx changelog ничего не найдёт

https://codeby.net/threads/obnaruzheniye-cve-v-yadre-linux-avtomatizatsiya-poiska-nezakrytykh-uyazvimostei-v-backport-patchakh.92665/