Ve francouzském jádru Linux byla opravena zranitelnost, která dostala neoficiální název. ssh-keysign-pwn. Problém umožňuje místnímu nepriviligovanému uživateli číst soubory, které by měly být dostupné pouze pro roota, včetně soukromých SSH hostitelských klíčů a v některých scénářích také /etc/shadow. V době publikace nebylo pro tento problém ještě přiděleno samostatné CVE.
Navzdory názvu se nejedná o chybu v OpenSSH jako síťovém serveru sshd, ale o defekt v logice jádra Linuxu, související s kontrolami ptrace a přístupem k souborovým descriptorům jiného procesu prostřednictvím pidfd_getfd(2). Nástroj OpenSSH ssh-keysign se stal jedním z usnadněných příkladů zneužití, protože pracuje se soukromými hostitelskými klíči, které obvykle patří rootovi a nejsou dostupné běžným uživatelům.
Podstata chyby spočívá v tom, že funkce __ptrace_may_access() nesprávně zpracovávala stav procesu, jehož struktura paměti mm již zmizela, ale stále zůstávaly otevřené souborové deskriptory. Během ukončování procesu jádro volá exit_mm() dříve, než zavře soubory prostřednictvím exit_files(). V této krátké době se proces již jeví jako nemající běžný uživatelský adresní prostor, ale jeho otevřené soubory ještě existují. Z toho důvodu mohla kontrola stavu „dumpable“ být obejita, a pidfd_getfd() získat přístup k cizímu souborovému descriptoru při shodujícím se UID.
Praktický scénář se staví kolem setuid programů, které nejprve otevřou citlivý soubor s právy roota, poté snižují privilegium a končí, stále mít otevřený descriptor. V publikovaném popisu je jako příklad uveden ssh-keysign: otvírá /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key, poté snižuje práva a může skončit, pokud je EnableSSHKeysign vypnut. Tyto klíče by měly být dostupné pouze rootovi, protože se používají pro host-based autentizaci.
Druhým příkladem je chage, který může otevřít /etc/shadow, poté snížit efektivní práva a skončit. V důsledku toho útok nemusí ihned poskytnout shell s právy roota, ale umožňuje obdržet obsah souborů, které se obvykle považují za kriticky chráněné. Únik /etc/shadow je nebezpečný možností následného offline lámání hesel, a únik soukromých SSH hostitelských klíčů představuje riziko podvržení hostitele nebo provádění útoků na důvěryhodné SSH skripty.
Oprava byla již přijata do hlavního proudu Linuxu. Commit 31e62c2ebbfd se záznamem ptrace: mírně rozumnější logika ‘get_dumpable()’ mění chování kontroly dumpability: jádro nyní uchovává stav user_dumpable při zmizení mm a vyžaduje správnou kontrolu CAP_SYS_PTRACE pro obcházení. Patch se dotýká include/linux/sched.h, kernel/exit.c a kernel/ptrace.c.
Zranitelnost byla nahlášena společností Qualys a opravena Linusem Torvaldsem 14. května 2026. Phoronix uvádí, že v době publikace problém zasahoval všechny verze jádra Linux až po aktuální stav mainline větve před provedením opravy. Autor PoC také uvádí, že zranitelná jsou jádra před commitem 31e62c2ebbfd, včetně stabilních větví k datu 14. května.
Je také důležité poznamenat, že k útoku není nutné načítat specifické moduly jádra, jak tomu bylo u řady nedávných LPE zranitelností. Stačí místní neprivilegovaný přístup k systému a přítomnost vhodného privilegovaného pomocného procesu. Vývojář Debianu Daniel Baumann poznamenal, že tento problém by měl být vyřešen aktualizací jádra a následným restartem do opraveného jádra.
V publikovaném repozitáři s demonstrací byla potvrzena kontrola na Raspberry Pi OS Bookworm s jádrem 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch a CentOS 9. K tomuto seznamu je třeba přistupovat jako k údajům autora PoC, nikoli jako k vyčerpávajícímu seznamu: protože chyba leží v obvyklé logice jádra, skutečné pokrytí závisí na verzi jádra a dostupnosti backportované opravy u konkrétní distribuce.
Pro administrátory je hlavní doporučení jednoduché: nainstalovat aktualizovaný jádrový balíček ze své distribuce a restartovat systém. Pokud existují důvody domnívat se, že na stroji již měl útočník lokální neprivilegovaný přístup, je po aktualizaci vhodné zvážit i rotaci SSH host klíčů a kontrolu /etc/shadow/uživatelských účtů, neboť zranitelnost se týká právě čtení citlivých souborů, nikoli pouze abstraktního obcházení přístupových kontrol.
V Debianu již bylo zahájeno úsilí o přenos opravy: Baumann oznámil cherry-pick upstream commitu v trixie-fastforward-backports a odeslání merge requestu pro Debian sid. V merge requestu je přímo uvedeno, že se přenáší commit 31e62c2 pro opravu ptrace logiky dumpability, která umožňuje číst root soubory neprivilegovanému uživateli.
Zdroj: linux.org.ru
