I kernen Linux sårbarhed afsløret Bad Epoll, registreret som CVE-2026-46242Det giver en almindelig lokal bruger uden særlige rettigheder mulighed for at eskalere privilegier til root. Ifølge forskningsforfatter Jaeyoung Jeong påvirker problemet ikke kun Linux-stationære computere og servere, men også nogle Android-enheder på nye kerneversioner - dette er fremhævet separat i Beskrivelse af Bad Epoll.
Fejlen ligger i delsystemet epoll - standardmekanisme Linux at overvåge flere filbeskrivelser, netværksforbindelser og I/O-hændelser. Disse mekanismer bruges aktivt af servere, browsere og netværkstjenester, så det er ikke muligt blot at deaktivere epoll. teknisk analyse Sårbarheden beskrives som en kapløbstilstand, der fører til bruge efter frigivelseNår relaterede epoll-objekter lukkes samtidigt, frigiver den ene tråd de interne strukturer, mens den anden fortsætter med at tilgå dem.
Mere specifikt opstår problemet, når én epoll-deskriptor overvåger en anden, og begge deskriptorer lukkes samtidigt. Efter kald af __ep_remove() ryddes feltet file->f_ep midlertidigt, og den konkurrerende __fput() kan beslutte, at yderligere oprydning ikke længere er nødvendig. Som følge heraf frigives struct eventpoll-objektet eller den tilhørende struct-fil for tidligt, men koden fortsætter med at arbejde med pointere til allerede frigjort hukommelse. Dette er, hvad der giver en angriber en primitiv mulighed for at beskadige kernelhukommelse.
Angrebet kræver ikke yderligere funktioner og kræver ikke brugernavnerum - tilstedeværelsen af CONFIG_EPOLL er tilstrækkelig, hvilket gør problemet særligt ubehageligt for almindelige brugere. Linux-systemer. Ifølge forskerens primære rapport, fejlen blev introduceret i kernen af commit 58c9b016e128 i 2023, og fastsat af en commit a6dc643c693.
Trods det meget snævre kapløbsvindue forberedte forskeren en fungerende udnyttelse til Google kernelCTF. beskrivelse af operationen Viser hvordan fejlen udvikler sig til en 8-byte skrivning til en frigjort struktur, derefter til en kernehukommelseslækage via /proc/self/fdinfo, en file->f_op->poll hook og en ROP-kæde for at få root. Lts-6.12.67-målet hævder at have en pålidelighed på cirka 99%, mens COS hævder at have en pålidelighed på cirka 98%. Android- ifølge forfatteren er udnyttelsen stadig under udvikling.
Kernerne baseret på grenen er under angreb 6.4 og nyere, hvis korrektionen ikke er blevet overført til dem. Gammel Android- enheder på 6.1 kerner, inklusive Pixel 8 og lignende modeller, forfatter anser for usårligBrugere og administratorer har kun én pålidelig beskyttelsesmulighed: installer kerneopdateringen fra deres distributions- eller enhedsleverandør.
Kilde: linux.org.ru
