Information über eine Sicherheitsanfälligkeit (CVE-2026-43499) im Linux-Kernel, die den Codenamen GhostLock trägt und es einem unprivilegierten lokalen Benutzer ermöglicht, Root-Rechte im System zu erlangen sowie isolierte Container zu verlassen. In Kombination mit anderen Sicherheitsanfälligkeiten in Browsern kann das identifizierte Problem zur Remote-Ausführung von Code mit Root-Rechten verwendet werden, wenn eine speziell gestaltete Webseite geöffnet wird. Das Problem tritt ab Kernel-Version 2.6.39 (2011) auf.
Es wird behauptet, dass die Sicherheitsanfälligkeit in allen Distributionen, die in den letzten 15 Jahren veröffentlicht wurden, ausgenutzt werden kann. Es existiert ein funktionierender Exploit, dessen Entwickler von Google eine Belohnung von 92.337 $ für die erfolgreiche Steigerung der Benutzerrechte in einer Umgebung mit KernelCTF (Capture the Flag) erhalten haben, die zusätzliche Patches zur Blockierung typischer Exploit-Methoden enthält. Die Erfolgsquote des Exploits wird auf 97 % geschätzt. Die Sicherheitsanfälligkeit wurde mithilfe des KI-Tools VEGA identifiziert.
Der Patch mit den Fehlerbehebungen wurde am 21. April in den Quellcode des Kernels übernommen und ist Bestandteil der Kernel-Versionen 7.1.0, 6.18.36, 6.12.95, 6.6.144 und 6.1.177. Den Status der Sicherheitsanfälligkeiten in den verschiedenen Distributionen können Sie auf den folgenden Seiten einsehen: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. Es gibt keine Workarounds, um das Problem zu umgehen.
Die Sicherheitsanfälligkeit tritt im Zusammenhang mit den Futex-Sperren auf und wird durch den Zugriff auf den Speicher nach dessen Freigabe verursacht, der im Rahmen der Mechanismen zur Vererbung von Prioritäten auftritt, die eine Prioritätsumkehr verhindern (das Sperren einer hochpriorisierten Aufgabe wegen der Erwartung der Freigabe einer Ressource, die von einer niedrigpriorisierten Aufgabe belegt ist). In einer Situation, in der das Setzen der Sperre fehlschlägt, rollt der Kernel den Zustand zurück und ruft die Reinigungsfunktion auf. Unter bestimmten Umständen wird die Reinigungsfunktion nicht zum richtigen Zeitpunkt aufgerufen und gibt die Datenstruktur einer anderen Aufgabe frei, was zu einem hängenden Zeiger führt, der auf bereits freigegebenen Speicher verweist.
Die Ausnutzung der Schwachstelle besteht darin, Bedingungen für das Entstehen eines schwebenden Zeigers zu schaffen, indem ausschließlich die für den Benutzer verfügbaren Systemaufrufe zur Arbeit mit Threads genutzt werden. Zudem wird ein primitiver Schreibmechanismus mit Hilfe des schwebenden Zeigers in einen beliebigen Bereich des Kernelspeichers implementiert und diese primitive Methode verwendet, um den Übergang in die Funktionstabelle des Kernels zu substituieren und den Kontrollfluss abzufangen.
Im vorgeschlagenen Exploit wird der Zeiger in der Tabelle inet6_protos[IPPROTO_UDP] überschrieben, wonach ein UDP-Paket über das Loopback-Interface per IPv6 gesendet wird. Bei der Verarbeitung wird der Handler aufgerufen, dessen Zeiger in der vorherigen Phase ersetzt wurde. Um Root-Zugriff zu erlangen, hinterlässt der Exceeding-Code in /proc/sys/kernel/core_pattern seinen Handler, der mit Root-Rechten bei einem Absturz von Prozessen aufgerufen wird.
Neben dem behandelten Problem wurden im Linux-Kernel noch mehrere gefährliche Schwachstellen festgestellt:
- Januscape (CVE-2026-53359) — Zugriff auf einen Speicherbereich nach dessen Freigabe (use-after-free) in Komponenten des Hypervisors. KVM, die auf der virtuellen Maschine ausgeführt werden, um den Speicher-Management-Block (MMU) zu emulieren und Adressübersetzungen zwischen dem Host und dem Gastsystem durchzuführen. Die Schwachstelle tritt auf Systemen mit Intel- und AMD-Prozessoren auf und ermöglicht den Root-Zugriff auf die Host-Umgebung, wenn bereits Root-Zugriff im Gastsystem besteht.
Ein Prototyp des Exploits, der die Datenstruktur der Host-Systeme betrifft, die bei der Adressübersetzung verwendet wird, steht zum Download zur Verfügung. Der veröffentlichte Exploit führt zum Absturz des Host-Systems. Laut dem Entdecker der Schwachstelle wurde jedoch auch ein Exploit erstellt, der die Ausführung von Code in der Host-Umgebung mit Root-Rechten ermöglicht. Dieser bleibt derzeit unpubliziert, um Zeit für die Implementierung von Updates zu geben.
Das Problem wurde vor 16 Jahren verursacht und in den Updates 7.1.3, 6.18.38, 6.12.95, 6.6.144 und 6.1.177 behoben. Der Status der Behebung der Schwachstellen in den verschiedenen Distributionen kann auf den folgenden Seiten einsehen werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Der Entdecker der Schwachstelle erhielt von Google eine Belohnung in Höhe von 250.000 Dollar im Rahmen der kvmCTF-Initiative.
Um die Gastumgebung zu verlassen, gehen Sie zu Servern für ARM64-Prozessoren hat derselbe Forscher eine weitere Schwachstelle ITScape (CVE-2026-46316) identifiziert, die durch einen Race Condition im Emulationscode des vGIC-ITS (Interrupt Translation Service) in KVM verursacht wird. Für dieses Problem wurde ebenfalls ein Exploit-Prototyp veröffentlicht.
- Bad Epoll (CVE-2026-46242) — ein Race Condition, das zu einem Zugriff auf Speicher nach dessen Freigabe in der Epoll-Kernel-Subsystem führt. Die Schwachstelle ermöglicht es einem lokalen nicht privilegierten Benutzer, Code mit Root-Rechten auszuführen. Das Problem ist bemerkenswert, da es nicht nur klassische Linux-Distributionen, sondern auch Firmware auf Basis der Android-Plattform angreifen kann und nicht durch die Sandbox-Isolierung in Chrome blockiert wird. Ein funktionierender Exploit wurde auf dem Wettbewerb kernelCTF demonstriert (Google zahlte dem Autor 71.337 $). Die Zuverlässigkeit des Exploits wurde auf 99% geschätzt.
Das Problem tritt mit dem Linux-Kernel 6.4 (Jahr 2023) auf. Die Entwickler des Kernels wurden am 17. Februar über das Problem informiert, jedoch gelang es erst am 24. April nach mehreren erfolglosen Versuchen, eine Lösung zu entwickeln. Das Problem wurde in den Kernen 6.18.24, 6.12.83 und 6.6.136 behoben. Der Status der Behebung von Sicherheitsanfälligkeiten in den Distributionen kann auf diesen Seiten eingesehen werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
- CVE-2026-46215 – ein Zugriff auf den Speicher nach dessen Freigabe in der Implementierung von ioctl DRM_IOCTL_GEM_CHANGE_HANDLE in der DRM-Unterstützung (Direct Rendering Manager). Ein lokaler Benutzer mit Zugriff auf die Geräte /dev/dri/renderD* (der Systemdienst systemd-logind gewährt allen Benutzern Zugriff beim Start eines grafischen Sitzungs in allen großen Distributionen) kann root-Rechte im System erlangen. Ein Exploit ist vorhanden. Das Problem tritt seit Kernel 6.18 auf und wurde in den Updates 7.0.9 und 6.18.32 behoben. Der Status der Behebung von Sicherheitsanfälligkeiten in den Distributionen kann auf diesen Seiten eingesehen werden: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
Quelle: opennet.ru
