Eine Schwachstelle im Linux-Kernel wurde entdeckt CVE-2026-43499, die umgangssprachlich als GhostLock bezeichnet wird. Das Problem betrifft den rtmutex-Code und den Prioritätserben des futex-Mechanismus, dessen Ausnutzung einem nicht privilegierten lokalen Benutzer ermöglichen könnte, die Rechte auf root zu erhöhen. Laut AlmaLinux, kann die Schwachstelle auch aus einem Container heraus genutzt werden, um auf den Host zuzugreifen, wenn das System ein nicht aktualisiertes Kernel verwendet.
Der Kern des Fehlers ist mit der Funktion remove_waiter() in kernel/locking/rtmutex.c verbunden. Wie in der NVD-Beschreibung angegeben, arbeitete die Funktion beim Zurücksetzen des proxy-lock im Szenario futex_requeue() mit der aktuellen Aufgabe (current), obwohl sie den Zustand der Aufgabe, die tatsächlich auf die Sperrung wartete (waiter::task), hätte bereinigen sollen. Infolgedessen konnte der Zustand pi_blocked_on möglicherweise nicht korrekt bereinigt werden, was zu einem hängenden Zeiger führte und eine Voraussetzung für use-after-free schuf.
Forscher von Nebula Security beschrieben GhostLock als einen Fehler, der seit 2011 in den Hauptdistributionen von Linux vorhanden ist. Die öffentliche Diskussion der Schwachstelle hat das Risiko für Server und Containerumgebungen erhöht: CloudLinux Es wird darauf hingewiesen, dass bereits ein öffentliches Proof-of-Concept für CVE-2026-43499 existiert, weshalb Administratoren das Aktualisieren des Kernels nicht aufschieben sollten.
Die Korrektur im Upstream besteht darin, dass remove_waiter() waiter::task anstelle von current in allen relevanten Operationen verwenden sollte. Dies wird ebenfalls von der GitHub Advisory Databaseangezeigt, in der die Folgen des Fehlers aufgeführt sind: fehlerhafte Löschung aus rbtree ohne notwendige Sperre, unbereinigter Zustand pi_blocked_on und Funktion rt_mutex_adjust_prio_chain() arbeitet nicht mit der richtigen Aufgabe.
Benutzern von Linux-Distributionen wird empfohlen, die neuesten Kernel-Updates aus den offiziellen Repositories zu installieren. Die Schwachstelle ist lokal, wodurch ein direkter Zugang nicht möglich ist, jedoch steigt das Risiko auf Mehrbenutzerservern, CI-Infrastrukturen, Hosting-Diensten und Systemen mit Containern deutlich: Ein erfolgreicher Exploit wandelt bereits erhaltenen, schwach privilegierten Zugang in die vollständige Kontrolle über das System um.
Quelle: linux.org.ru
