Der Linux-kærne har fået rettet en sårbarhed, som uofficielt omtales som ssh-keysign-pwn. Problemet muliggør, at en lokal, ikke-privilegeret bruger kan læse filer, der kun burde være tilgængelige for root, inklusive private SSH-værtsnøgler og i nogle tilfælde \/etc\/shadow. På tidspunktet for offentliggørelsen var der endnu ikke tildelt en separat CVE for problemet.
På trods af navnet handler det ikke om en fejl i OpenSSH som den netværkstjeneste sshd, men om en defekt i koden i Linux-kærnen, der vedrører ptrace-kontroller og adgang til filbeskrivere for en anden proces via pidfd_getfd(2). OpenSSH-værktøjet ssh-keysign viste sig at være et praktisk eksempel på udnyttelse, fordi det arbejder med private værtsnøgler, som normalt tilhører root og ikke er tilgængelige for almindelige brugere.
Essensen af fejlen ligger i, at funktionen __ptrace_may_access() ikke håndterede processen korrekt, når dens hukommelsesstruktur mm allerede var væk, men der stadig eksisterede åbne filbeskrivere. Under procesafslutningen kalder kernen exit_mm() før den lukker filerne via exit_files(). I dette korte interval ser processen allerede ud til ikke at have et normalt brugeradresseområde, men dens åbne filer eksisterer stadig. På grund af dette kunne kontrollen af «dumpable»-tilstanden omgås, og pidfd_getfd() kunne få adgang til en fremmed filbeskriver med en matchende UID.
Et praktisk scenarie bygger på setuid-programmer, der først åbner en følsom fil med root-rettigheder, derefter nulstiller privilegierne og afsluttes, mens den stadig har en åben beskrivelse. I den offentliggjorte beskrivelse nævnes ssh-keysign som et eksempel: det åbner \/etc\/ssh\/ssh_host_{ecdsa,ed25519,rsa}_key, hvorefter det nulstiller rettighederne og kan afsluttes, hvis EnableSSHKeysign er deaktiveret. Disse nøgler bør kun være tilgængelige for root, da de bruges til værtsbaseret godkendelse.
Et andet eksempel er chage, som kan åbne \/etc\/shadow, derefter nulstille effektive rettigheder og afsluttes. Resultatet af angrebet giver måske ikke straks en skal med root-rettigheder, men muliggør adgang til indholdet af filer, der normalt betragtes som kritisk følsomme. Lækage af \/etc\/shadow er farlig på grund af muligheden for efterfølgende offline-gætte passwords, mens lækage af private SSH-værtsnøgler udgør en risiko for værtsforfalskning eller angreb på betroede SSH-scenarier.
Ændringen er allerede blevet accepteret i hovedlinjen for Linux. Commit 31e62c2ebbfd med titlen ptrace: slightly saner 'get_dumpable()' logic ændrer adfærden af dumpbarhedskontrollen: kernen gemmer nu tilstanden user_dumpable, når mm forsvinder, og kræver korrekt kontrol af CAP_SYS_PTRACE for at omgå det. Patchen berører include/linux/sched.h, kernel/exit.c og kernel/ptrace.c.
Sårbarheden blev rapporteret af Qualys og blevet rettet af Linus Torvalds den 14. maj 2026. Phoronix bemærker, at på tidspunktet for offentliggørelsen berørte problemet alle versioner af Linux-kernen op til den aktuelle tilstand i mainline-træet før rettelsen blev tilføjet. Forfatteren af PoC angiver også, at kerner indtil commit 31e62c2ebbfd er sårbare, inklusive stabile grene pr. 14. maj.
Det er også vigtigt, at der ikke kræves specifikke kernel-moduler for at udnytte dette, som i flere nylige LPE-sårbarheder. Det er tilstrækkeligt med lokal, ikke-privilegeret adgang til systemet samt en passende privilegeret helper-proces. Debian-udvikleren Daniel Baumann bemærkede, at dette problem skal løses ved at opdatere kernen og derefter genstarte til den rettede kerne.
I det offentligt tilgængelige repository med demonstrationen er der angivet kontrol for Raspberry Pi OS Bookworm med kerne 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch og CentOS 9. Denne liste bør betragtes som forfatterens PoC-data, og ikke en udtømmende liste: da fejlen findes i den generelle logik af kernen, afhænger den faktiske dækning af kernelversionen og tilgængeligheden af backport-rettelsen i det specifikke distrubution.
For administratorer er den primære anbefaling enkel: Installer den opdaterede kernelpakke fra dit distribution og genstart systemet. Hvis der er grund til at antage, at der allerede har været lokal, ikke-privilegeret adgang for en angriber, bør man overveje at rotere SSH host-nøglerne og kontrollere /etc/shadow/kontoer efter opdateringen, da selve sårbarheden er relateret til læsning af følsomme filer, og ikke kun til abstrakt omgåelse af adgangskontrollen.
I Debian er arbejdet allerede startet med at overføre rettelsen: Baumann har rapporteret om cherry-pick af upstream-commit i trixie-fastforward-backports og sendt en merge request til Debian sid. I merge requesten er det direkte angivet, at commit 31e62c2 overføres for at rette ptrace-logikken for dumpability, hvilket muliggør læsning af root-filer af ikke-privilegerede brugere.
Kilde: linux.org.ru
