Eine Schwachstelle im Linux-Kernel wurde entdeckt Bad Epoll, registriert als CVE-2026-46242. Dies ermöglicht es einem normalen lokalen Benutzer, ohne spezielle Berechtigungen Privilegien auf Root-Ebene zu erhöhen. Laut dem Forschungsautor Jayon Chon betrifft das Problem nicht nur Linux-Desktops und -Server, sondern auch einige Android-Geräte mit neuen Kernel-Versionen – dies wird besonders in der Beschreibung von Bad Epoll.
Der Fehler liegt im Subsystem epoll – dem standardmäßigen Mechanismus von Linux zur Überwachung vieler Dateideskriptoren, Netzwerkverbindungen und Ein- und Ausgabeereignisse. Solche Mechanismen werden aktiv von Servern, Browsern und Netzwerkdiensten genutzt, weshalb epoll nicht einfach deaktiviert werden kann. In der technischen Analyse wird die Schwachstelle als ein Wettlauf beschrieben, der zu use-after-free: Wenn verwandte epoll-Objekte gleichzeitig geschlossen werden, gibt ein Thread interne Strukturen frei, während ein anderer weiterhin auf sie zugreift.
Genauer gesagt, tritt das Problem auf, wenn ein epoll-Descriptor einen anderen überwacht und beide Deskriptoren parallel geschlossen werden. Nach dem Aufruf von __ep_remove() wird das Feld file->f_ep vorübergehend auf null gesetzt, und der konkurrierende __fput() könnte zu dem Schluss kommen, dass eine zusätzliche Bereinigung nicht mehr notwendig ist. Infolgedessen wird das Objekt struct eventpoll oder das damit verbundene struct file zu früh freigegeben, während der Code weiterhin mit Zeigern auf bereits freigegebenen Speicher arbeitet. Genau das bietet dem Angreifer ein primitives Mittel zur Beschädigung des Kernspeichers.
Für den Angriff sind keine zusätzlichen Berechtigungen erforderlich, und es werden keine Benutzernamespaces benötigt — es genügt, dass CONFIG_EPOLL vorhanden ist, was das Problem besonders unangenehm für gängige Linux-Systeme macht. Laut dem ursprünglichen Bericht des Forschers, wurde der Fehler mit dem Commit 58c9b016e128 im Jahr 2023 eingeführt und mit dem Commit a6dc643c693.
behebt. Trotz des sehr engen Zeitfensters wurde vom Forscher ein funktionierender Exploit für Google kernelCTF vorbereitet. In der Beschreibung der Ausnutzung Es wird gezeigt, wie ein Fehler in einen 8-Byte-Datensatz innerhalb einer freigegebenen Struktur umgewandelt wird, gefolgt von einem Speicherleck im Kernel über /proc/self/fdinfo, dem Abfangen von file->f_op->poll und einer ROP-Kette zur Erlangung von Root-Rechten. Für das Ziel lts-6.12.67 wird eine Zuverlässigkeit von etwa 99 % angegeben, für COS etwa 98 %; der Android-Exploit, so der Autor, ist noch in Arbeit.
Betroffen sind Kernel, die auf dem Branch 6.4 und neuer basieren, sofern das Patch nicht übernommen wurde. Alte Android-Geräte mit Kernel 6.1, einschließlich Pixel 8 und ähnlichen Modellen, betrachtet der Autor als unmöglich anzugreifen. Für Anwender und Administratoren bleibt als einzige sinnvolle Schutzmaßnahme nur die Installation eines Kernel-Updates von ihrem Distribution oder Geräteanbieter.
Quelle: linux.org.ru
