dmcdtc/openvz-cve-patch-2026GhostLock - обратно портированный патч для CVE-2026-43499 для openVZ 7
Бэкпорт-патч CVE-2026-43499 для ядра openVZ 7 vzkernel-3.10.0-1160.129.1.ovz7.226.2
Поскольку команда OpenVZ пока не выпустила патч для ядра OpenVZ, я с помощью Claude создал этот, и, похоже, он работает! (я протестировал его на двух серверах в продакшене, проблем пока нет)
USAGE:
git clone -b branch-rh7-3.10.0-1160.129.1.vz7.226.x-ovz --single-branch --depth 1 https://[email protected]/openvz/vzkernel.git
cd vzkernel
patch -p0 kernel/rtmutex.c < /patch/CVE-2026-43499-vzkernel3.10.patch (or just overwrite rtmutex.c from my attachments)
cp config.OpenVZ .config
make olddefconfig
make -j10 bzImage
make -j10 modules
make modules_install
cp arch/x86/boot/bzImage /boot/vmlinuz-3.10.0-1160.129.1.ovz7.226.2
dracut /boot/initramfs-3.10.0-1160.129.1.ovz7.226.2.img 3.10.0-1160.129.1.ovz7.226.2
grub2-mkconfig -o /boot/grub2/grub.cfg (or if EFI then EFI path)
Вот и всё... сделайте новое ядро ядром по умолчанию и перезагрузитесь в него. Лучше всего делать это в тестовой среде, чтобы убедиться, что всё работает.
Если у кого-то есть решение лучше или я допустил какую-то критическую ошибку — буду рад услышать и исправить... Возможно, я соберу .rpm или какой-нибудь репозиторий... просто мне сейчас лень. Всё ещё жду, сделает ли команда OpenVZ что-то официально, прежде чем я займусь этим сам...
Теперь я добавил бинарное ядро для openvz с пропатченным официальным ядром 119... в выпущенном бинарнике есть .spec и патч... для уверенности в безопасности лучше пересобрать из оригинального src.rpm от openVZ
ОБНОВЛЕНИЕ 24-Июл-26
Теперь есть официальный патч, вы можете посмотреть его здесь
https://bitbucket.org/openvz/vzkernel/commits/branch/branch-rh7-3.10.0-1160.129.1.vz7.226.x-ovz обновлено
Бинарные файлы: https://download.openvz.org/virtuozzo/factory/x86_64/os/Packages/v/