Bad Epoll: Eine Sicherheitsanfälligkeit für Root-Zugriff in Linux und Android gefunden.

1

Eine Schwachstelle im Linux-Kernel entdeckt Schlechtes Epoll, registriert als CVE-2026-46242. Es ermöglicht einem gewöhnlichen lokalen Benutzer ohne spezielle Rechte, die Berechtigungen auf root zu erhöhen. Laut dem Forscher James Chong betrifft das Problem nicht nur Linux-Desktops und Server, sondern auch einen Teil der Android-Geräte mit neueren Kernelversionen – dies wird besonders betont in der Beschreibung von Bad Epoll.

Der Fehler befindet sich im Subsystem epoll — einem Standardmechanismus von Linux zur Überwachung vieler Dateideskriptoren, Netzwerkverbindungen und Ein-/Ausgabeereignisse. Solche Mechanismen werden aktiv von Servern, Browsern und Netzwerkdiensten genutzt, weshalb epoll nicht einfach deaktiviert werden kann. In der technischen Analyse wird die Schwachstelle als Rennen beschrieben, das zu use-after-freeführt: Wenn mehrere verwandte Epoll-Objekte gleichzeitig geschlossen werden, gibt ein Thread die internen Strukturen frei, während ein anderer weiterhin auf diese zugreift.

Genauer gesagt, das Problem tritt in Situationen auf, in denen ein Epoll-Deskriptor einen anderen überwacht und beide Deskriptoren parallel geschlossen werden. Nach dem Aufruf von __ep_remove() wird das Feld file->f_ep vorübergehend auf null gesetzt, und der konkurrierende __fput() kann entscheiden, dass eine zusätzliche Bereinigung nicht mehr erforderlich ist. Infolgedessen wird das Objekt struct eventpoll oder das damit verbundene struct file zu früh freigegeben, aber der Code arbeitet weiterhin mit Zeigern auf bereits freigegebenen Speicher. Genau das gibt dem Angreifer einen Mechanismus, um den Speicher des Kernels zu beschädigen.

Für den Angriff sind keine zusätzlichen Berechtigungen erforderlich und es sind keine Benutzer-Namensräume nötig – es reicht aus, dass CONFIG_EPOLL vorhanden ist, was das Problem für gewöhnliche Linux-Systeme besonders unangenehm macht. Laut dem ursprünglichen Bericht des Forschers, wurde der Fehler im Kernel durch den Commit 58c9b016e128 im Jahr 2023 eingeführt und durch den Commit a6dc643c693.

behoben. Trotz des sehr engen Fenster-Rennens hat der Forscher einen funktionierenden Exploit für Google kernelCTF vorbereitet. In der Exploit-Beschreibung wird gezeigt, wie der Fehler in einen 8-Byte-Eintrag in einer freigegebenen Struktur übergeht, dann zu einem Kernel-Speicherleck über /proc/self/fdinfo, das Abfangen von file->f_op->poll und eine ROP-Kette, um root zu erlangen. Für das Ziel lts-6.12.67 wird eine Zuverlässigkeit von etwa 99 % angegeben, für COS etwa 98 %; der Android-Exploit, so der Autor, ist noch in Arbeit.

Betroffen sind Kerne, die auf der Version 6.4 und neuer, basieren, wenn der Fix nicht enthalten ist. Alte Android-Geräte, die auf 6.1 basieren, einschließlich Pixel 8 und ähnlichen Modellen, hält der Autor für nicht verwundbar. Für Benutzer und Administratoren bleibt nur eine vernünftige Möglichkeit des Schutzes – das Kernel-Update von der eigenen Distribution oder dem Geräteanbieter zu installieren.

Quelle: linux.org.ru