GhostLock, BadEpoll und Januscape – Sicherheitsanfälligkeiten im Linux-Kernel, die es ermöglichen, Root-Rechte zu erlangen und die KVM-Isolierung zu umgehen.

Information über eine Schwachstelle (CVE-2026-43499) im Linux-Kernel, die den Codenamen GhostLock trägt und es unprivilegierten lokalen Benutzern ermöglicht, Root-Rechte im System zu erlangen sowie isolierte Container zu verlassen, wurde offengelegt. In Kombination mit anderen Schwachstellen in Browsern kann das erkannte Problem für die Fernausführung von Code mit Root-Rechten beim Öffnen einer speziell gestalteten Webseite genutzt werden. Das Problem tritt seit dem Linux-Kernel 2.6.39 (2011) auf.

Es wird behauptet, dass die Schwachstelle in allen Distributionen aus den letzten 15 Jahren ausgenutzt werden kann. Es gibt einen funktionierenden Exploit, dessen Entwickler von Google eine Belohnung von 92.337 $ für die erfolgreiche Erhöhung der Privilegien in einer KernelCTF (Capture the Flag)-Umgebung erhalten haben, die zusätzliche Patches zur Blockierung typischer Exploit-Methoden enthält. Die Erfolgsquote des Exploits wird auf 97 % geschätzt. Die Schwachstelle wurde mit dem AI-Tool VEGA identifiziert.

Der Patch zur Behebung wurde am 21. April in die Codebasis des Kernels aufgenommen und ist Teil der Kernel-Versionen 7.1.0, 6.18.36, 6.12.95, 6.6.144 und 6.1.177. Der Status der Behebung von Schwachstellen in den Distributionen kann auf diesen Seiten bewertet werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. Umgehungen zur Blockierung des Problems gibt es nicht.

Die Schwachstelle ist in der Implementierung von Futex-Sperren vorhanden und wird durch einen Zugriff auf den Speicher nach dessen Freigabe verursacht, der beim Arbeiten mit der Prioritätsvererbung auftritt, die die Prioritätsumkehr verhindert (Blockierung einer hochpriorisierten Aufgabe aufgrund des Wartens auf die Freigabe einer Ressource, die von einer niedrigpriorisierten Aufgabe verwendet wird). In Situationen, in denen das Setzen einer Sperre fehlschlägt, rollt der Kernel den Zustand zurück und ruft die Aufräumfunktion auf. Unter bestimmten Umständen wird die Aufräumfunktion nicht zu dem Zeitpunkt aufgerufen, und gibt eine Datenstruktur einer anderen Aufgabe frei, woraufhin ein hängender Zeiger (dangling pointer) verbleibt, der auf bereits freigegebenen Speicher verweist.

Die Ausnutzung der Schwachstelle besteht darin, Bedingungen für das Entstehen eines hängenden Zeigers zu schaffen, indem ausschließlich für den Benutzer verfügbare Systemaufrufe zur Arbeit mit Threads verwendet werden, sowie die Implementierung eines Primitivs zum Schreiben mit Hilfe eines hängenden Zeigers in einen beliebigen Bereich des Kernel-Speichers und die Anwendung dieses Primitivs zur Substitution eines Sprungs in die Funktionstabelle des Kernels zur Abfangen des Kontrollflusses.

Im vorgeschlagenen Exploit wird der Zeiger in der Funktionstabelle inet6_protos[IPPROTO_UDP] überschrieben, wonach ein UDP-Paket über das Loopback-Interface für IPv6 gesendet wird. Bei der Verarbeitung dieses Pakets wird ein Handler aufgerufen, dessen Zeiger in der vorherigen Phase geändert wurde. Um Root-Zugriff zu erhalten, trägt der kontrollierte Code des Exploits in /proc/sys/kernel/core_pattern seinen eigenen Handler ein, der mit Root-Rechten beim Absturz von Prozessen aufgerufen wird.

Neben dem behandelten Problem wurden im Linux-Kernel mehrere weitere gefährliche Schwachstellen entdeckt:

• Januscape (CVE-2026-53359) — der Zugriff auf den Speicher nach dessen Freigabe (Use-after-free) in Komponenten des Hypervisors KVM, die auf der Seite der virtuellen Maschine zur Emulation der Speicherverwaltungs-Einheit (MMU) und zur Adressübersetzung zwischen Host und Gastsystem ausgeführt werden. Die Schwachstelle tritt auf Systemen mit Intel- und AMD-Prozessoren auf und ermöglicht den Zugriff mit Root-Rechten auf die Host-Umgebung, wenn bereits Root-Rechte im Gastsystem bestehen.

  Ein Prototyp des Exploits, der den Inhalt der Datenstruktur auf der Seite des Hosts beschädigt, die bei der Adressübersetzung verwendet wird, steht zum Herunterladen zur Verfügung. Der veröffentlichte Exploit führt zum Absturz des Host-Systems, jedoch hat der Forscher, der das Problem entdeckt hat, auch einen Exploit für die Ausführung von Code in der Host-Umgebung mit Root-Rechten erstellt, veröffentlicht diesen jedoch vorerst nicht, um Zeit für die Installation von Updates zu geben.

  Das Problem wurde durch einen Fehler verursacht, der vor 16 Jahren gemacht wurde, und wurde in den Updates 7.1.3, 6.18.38, 6.12.95, 6.6.144 und 6.1.177 behoben. Der Status der Behebung von Schwachstellen in den Distributionen kann auf den folgenden Seiten bewertet werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Für die Entdeckung der Schwachstelle erhielt der Forscher von Google eine Belohnung von 250.000 Dollar im Rahmen der Initiative kvmCTF.

  Um aus dem Gastsystem herauszukommen, auf Servern Der gleiche Forscher hat eine andere Schwachstelle ITScape (CVE-2026-46316) auf ARM64-Prozessoren entdeckt, die durch einen Race-Condition im Code der Emulation des vGIC-ITS (Interrupt Translation Service) in KVM verursacht wird. Zu diesem Problem wurde ebenfalls ein Exploit-Prototyp veröffentlicht.

• Bad Epoll (CVE-2026-46242) – eine Race-Condition, die zu einem Zugriff auf den Speicher nach dessen Freigabe in der Epoll-Kernel-Subsystem führt. Die Schwachstelle ermöglicht es einem unprivilegierten lokalen Benutzer, Code mit Root-Rechten auszuführen. Das Problem zeichnet sich dadurch aus, dass es nicht nur klassische Linux-Distributionen angreift, sondern auch Firmware auf Android-Basis und nicht durch Sandbox-Isolation in Chrome blockiert wird. Ein funktionierender Exploit wurde beim Wettbewerb kernelCTF demonstriert (Google zahlte dem Autor 71.337 $). Die Zuverlässigkeit des Exploit beträgt 99%.

  Das Problem tritt ab dem Linux-Kernel 6.4 (2023) auf. Die Problematik wurde den Kernel-Entwicklern am 17. Februar gemeldet, jedoch konnte das Patch erst nach mehreren gescheiterten Versuchen am 24. April entwickelt werden. Das Problem wurde in den Kernen 6.18.24, 6.12.83, 6.6.136 behoben. Der Status der Behebung der Schwachstellen in den Distributionen kann auf diesen Seiten eingesehen werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

• CVE-2026-46215 – ein Zugriff auf den Speicher nach dessen Freigabe in der Implementierung von ioctl DRM_IOCTL_GEM_CHANGE_HANDLE im DRM (Direct Rendering Manager) Subsystem. Ein lokaler Benutzer, der Zugriff auf die Geräte /dev/dri/renderD* hat (der systemd-logind Dienst gewährt allen Benutzern Zugriff beim Start einer grafischen Sitzung in allen großen Distributionen), kann Root-Rechte im System erlangen. Ein Exploit ist verfügbar. Das Problem tritt ab dem Kernel 6.18 auf und wurde in den Updates 7.0.9 und 6.18.32 behoben. Der Status der Behebung der Schwachstellen in den Distributionen kann auf diesen Seiten eingesehen werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Quelle: opennet.ru