{"id":172668,"date":"2026-05-19T06:24:52","date_gmt":"2026-05-19T04:24:52","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly"},"modified":"2026-05-19T12:52:18","modified_gmt":"2026-05-19T10:52:18","slug":"v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","title":{"rendered":"In Linux wurde eine Schwachstelle namens ssh-keysign-pwn geschlossen, die es lokalen Benutzern erm\u00f6glicht, auf Root-Dateien zuzugreifen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Linux-Kernel wurde eine Schwachstelle behoben, die den inoffiziellen Namen erhielt. ssh-keysign-pwn<\/strong>. Das Problem erm\u00f6glicht es einem lokalen nicht privilegierten Benutzer, Dateien zu lesen, die nur f\u00fcr root zug\u00e4nglich sein sollten, einschlie\u00dflich privater SSH-Host-Schl\u00fcssel und in einigen Szenarien \/etc\/shadow. Zum Zeitpunkt der Ver\u00f6ffentlichung wurde noch kein separater CVE f\u00fcr das Problem zugewiesen.<\/p>\n

<\/p>\n

Trotz des Namens handelt es sich nicht um einen Fehler im OpenSSH als Netzwerksdienst sshd, sondern um einen Fehler<\/a> in der Logik des Linux-Kernels, der mit den ptrace-Pr\u00fcfungen und dem Zugriff auf Dateideskriptoren eines anderen Prozesses \u00fcber pidfd_getfd(2) zusammenh\u00e4ngt. Das OpenSSH-Tool ssh-keysign ist ein praktisches Beispiel f\u00fcr eine Ausnutzung, da es mit privaten Host-Schl\u00fcsseln arbeitet, die normalerweise root geh\u00f6ren und f\u00fcr normale Benutzer nicht zug\u00e4nglich sind.<\/p>\n

<\/noindex><\/noindex> <\/p>\n

Die Hauptursache des Fehlers<\/a> Es gab ein Problem mit der Funktion __ptrace_may_access(), die den Zustand eines Prozesses nicht korrekt bearbeitete, dessen mm-Struktur bereits verschwunden war, aber weiterhin offene Dateideskriptoren vorhanden waren. Beim Beenden des Prozesses ruft der Kernel exit_mm() auf, bevor die Dateien durch exit_files() geschlossen werden. In diesem kurzen Zeitraum erscheint der Prozess bereits so, als habe er keinen normalen Speicherbereich f\u00fcr Benutzer, jedoch existieren seine offenen Dateien noch. Daher konnte die \u00dcberpr\u00fcfung des \u201edumpable\u201c-Status umgangen werden, und pidfd_getfd() konnte auf einen fremden Dateideskriptor mit \u00fcbereinstimmender UID zugreifen.<\/p>\n

<\/noindex> <\/p>\n

Das praktische Szenario dreht sich um setuid-Programme, die zun\u00e4chst eine sensible Datei mit Root-Rechten \u00f6ffnen, die Privilegien dann zur\u00fccksetzen und beendet werden, w\u00e4hrend sie noch einen offenen Deskriptor haben. In der ver\u00f6ffentlichten Beschreibung wird als Beispiel ssh-keysign angef\u00fchrt: es \u00f6ffnet \/etc\/ssh\/ssh_host_{ecdsa,ed25519,rsa}_key, setzt dann die Rechte zur\u00fcck und kann beendet werden, wenn EnableSSHKeysign deaktiviert ist. Diese Schl\u00fcssel sollten nur f\u00fcr Root zug\u00e4nglich sein, da sie f\u00fcr die hostbasierte Authentifizierung verwendet werden.<\/p>\n

Ein weiteres Beispiel ist chage, das auf \/etc\/shadow zugreifen kann, dann die effektiven Berechtigungen zur\u00fccksetzen und enden kann. In der Folge f\u00fchrt der Angriff nicht zwangsl\u00e4ufig sofort zu einer Shell mit Root-Rechten, erm\u00f6glicht jedoch den Zugriff auf Datei-Inhalte, die normalerweise als kritisch vertraulich gelten. Eine Leckage von \/etc\/shadow ist gef\u00e4hrlich, da sie die M\u00f6glichkeit eines anschlie\u00dfenden Offline-Passwort-Cracking bietet, w\u00e4hrend ein Leck privater SSH-Host-Schl\u00fcssel das Risiko birgt, den Host zu manipulieren oder Angriffe auf vertraute SSH-Skripte durchzuf\u00fchren.<\/p>\n

Die Korrektur wurde bereits in den Hauptzweig von Linux aufgenommen. Der Commit 31e62c2ebbfd mit dem Titel ptrace: leicht sanere ‘get_dumpable()’ Logik \u00e4ndert das Verhalten der \u00dcberpr\u00fcfung der Dumpf\u00e4higkeit: Der Kernel speichert jetzt den Zustand user_dumpable beim Verschwinden von mm und erfordert eine korrekte \u00dcberpr\u00fcfung von CAP_SYS_PTRACE, um umgangen zu werden. Der Patch betrifft include\/linux\/sched.h, kernel\/exit.c und kernel\/ptrace.c.<\/p>\n

Die Schwachstelle wurde von Qualys gemeldet und am 14. Mai 2026 von Linus Torvalds behoben. Phoronix weist darauf hin, dass das Problem zum Zeitpunkt der Ver\u00f6ffentlichung alle Versionen des Linux-Kernels bis zum aktuellen Status des Mainline-Baums vor der Korrektur betraf. Der Autor des PoC gibt auch an, dass der Kernel vor dem Commit 31e62c2ebbfd, einschlie\u00dflich stabiler Zweige zum 14. Mai, anf\u00e4llig ist.<\/p>\n

<\/p>\n

Es ist wichtig zu beachten, dass f\u00fcr den Betrieb keine speziellen Kernel-Module geladen werden m\u00fcssen, wie es bei einigen k\u00fcrzlichen LPE-Sicherheitsanf\u00e4lligkeiten der Fall war. Lokaler, nicht privilegierter Zugriff auf das System und das Vorhandensein eines geeigneten privilegierten Hilfsprozesses sind ausreichend. Debian-Entwickler Daniel Baumann stellte fest<\/a>, dass dieses Problem durch ein Kernel-Update und anschlie\u00dfendes Neustarten in das korrigierte Kernel behoben werden sollte.<\/p>\n

<\/noindex> <\/p>\n

Im ver\u00f6ffentlichten Repository zur Demonstration wird die \u00dcberpr\u00fcfung auf Raspberry Pi OS Bookworm mit Kernel 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch und CentOS 9 angegeben. Diese Liste sollte als die Daten des PoC-Autors betrachtet werden und nicht als vollst\u00e4ndige \u00dcbersicht: Da der Fehler in der allgemeinen Logik des Kernels liegt, h\u00e4ngt die tats\u00e4chliche Abdeckung von der Kernel-Version und dem Vorhandensein einer Backport-Korrektur f\u00fcr die jeweilige Distribution ab.<\/p>\n

F\u00fcr Administratoren ist die Hauptempfehlung ganz einfach: Installieren Sie das aktualisierte Kernel-Paket Ihrer Distribution und starten Sie das System neu. Sollte der Verdacht bestehen, dass auf dem Rechner bereits lokaler, nicht privilegierter Zugriff durch einen Angreifer bestanden hat, ist es nach dem Update ratsam, zus\u00e4tzlich \u00fcber die Rotation der SSH-Host-Schl\u00fcssel und die \u00dcberpr\u00fcfung der \/etc\/shadow\/Nutzerkonten nachzudenken, da die Vulnerabilit\u00e4t direkt mit dem Lesen sensibler Dateien verbunden ist und nicht nur mit einem abstrakten Umgehen von Berechtigungspr\u00fcfungen.<\/p>\n

In Debian hat bereits die Arbeit an der \u00dcbertragung des Fixes begonnen: Baumann berichtete von einem Cherry-Pick des Upstream-Commits in die trixie-fastforward-backports und von der Einreichung eines Merge Requests f\u00fcr Debian sid. Im Merge Request wird ausdr\u00fccklich darauf hingewiesen, dass der Commit 31e62c2 zur Behebung der ptrace-Logik des Dumpability-Features \u00fcbertragen wird, die es nicht privilegierten Benutzern erlaubt, Root-Dateien zu lesen.<\/p>\n

Quelle: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u044f\u0434\u0440\u0435 Linux \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ssh-keysign-pwn. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0447\u0438\u0442\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e root, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0435 SSH host-\u043a\u043b\u044e\u0447\u0438 \u0438, \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f\u0445, \/etc\/shadow. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 CVE \u0434\u043b\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0435\u0449\u0451 \u043d\u0435 \u0431\u044b\u043b \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d. \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435, \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043d\u0435 \u043e\u0431 \u043e\u0448\u0438\u0431\u043a\u0435 \u0432 OpenSSH \u043a\u0430\u043a \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-172668","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Sicherheitsanf\u00e4lligkeit ssh-keysign-pwn in Linux behoben, die es lokalen Benutzern erm\u00f6glicht, Root-Dateien zu lesen | ProHoster","description":"Im Linux-Kernel wurde eine Sicherheitsanf\u00e4lligkeit behoben, die informell als ssh-keysign-pwn bezeichnet wird. Dieses Problem erm\u00f6glicht es einem lokalen, nicht privilegierten Benutzer, Dateien zu lesen, die nur f\u00fcr den root-Benutzer zug\u00e4nglich sein sollten, einschlie\u00dflich privater SSH-Host-Schl\u00fcssel und, in bestimmten Szenarien, \/etc\/shadow. Zum Zeitpunkt der Ver\u00f6ffentlichung wurde noch keine separate CVE f\u00fcr das Problem zugewiesen. Trotz des Namens handelt es sich hierbei nicht um einen Fehler in OpenSSH als Netzwerkanwendung.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 Linux \u0437\u0430\u043a\u0440\u044b\u0442\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c ssh-keysign-pwn, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0447\u0438\u0442\u0430\u0442\u044c root-\u0444\u0430\u0439\u043b\u044b | ProHoster","og:description":"\u0412 \u044f\u0434\u0440\u0435 Linux \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ssh-keysign-pwn. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0447\u0438\u0442\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e root, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0435 SSH host-\u043a\u043b\u044e\u0447\u0438 \u0438, \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f\u0445, \/etc\/shadow. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 CVE \u0434\u043b\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0435\u0449\u0451 \u043d\u0435 \u0431\u044b\u043b \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d. \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435, \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043d\u0435 \u043e\u0431 \u043e\u0448\u0438\u0431\u043a\u0435 \u0432 OpenSSH \u043a\u0430\u043a \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-19T04:24:52+00:00","article:modified_time":"2026-05-19T10:52:18+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/172668","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=172668"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/172668\/revisions"}],"predecessor-version":[{"id":172737,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/172668\/revisions\/172737"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=172668"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=172668"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=172668"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}