Se ha revelado información sobre una vulnerabilidad (CVE-2026-43499) en el núcleo. LinuxLa vulnerabilidad, denominada GhostLock, permite que un usuario local sin privilegios obtenga acceso de administrador al sistema y escape de contenedores aislados. Al combinarse con otras vulnerabilidades del navegador, este problema puede explotarse para la ejecución remota de código con privilegios de administrador al abrir una página web especialmente diseñada. El problema se manifiesta a partir del núcleo del sistema. Linux 2.6.39 (2011).
Se afirma que la vulnerabilidad es explotable en todas las distribuciones lanzadas en los últimos 15 años. Existe un exploit funcional, y sus creadores recibieron una recompensa de 92 337 dólares de Google por lograr escalar privilegios con éxito en un entorno con el kernel KernelCTF (Capture the Flag), que incluye parches adicionales para bloquear los métodos de explotación habituales. Se estima que la tasa de éxito del exploit es del 97 %. La vulnerabilidad se descubrió utilizando el kit de herramientas de IA VEGA.
El parche que contenía la corrección fue aceptado en el código fuente del kernel el 21 de abril y se incluyó en las versiones 7.1.0, 6.18.36, 6.12.95, 6.6.144 y 6.1.177 del kernel. El estado de las correcciones de vulnerabilidades en las distribuciones se puede consultar en estas páginas: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinuxGentoo, Arch, Fedora. No existen soluciones alternativas para este problema.
La vulnerabilidad reside en la implementación de los bloqueos de futex y se debe a un error de uso después de la liberación de memoria, que ocurre durante el mecanismo de herencia de prioridad que impide la inversión de prioridad (cuando una tarea de alta prioridad se bloquea mientras espera a que un recurso en poder de una tarea de baja prioridad quede disponible). Cuando falla la adquisición del bloqueo, el kernel revierte el estado y llama a la función de limpieza. En ciertas circunstancias, la función de limpieza se llama en el momento incorrecto y libera una estructura de datos perteneciente a otra tarea, dejando un puntero colgante que apunta a memoria que ya ha sido liberada.
La explotación de la vulnerabilidad consiste en crear las condiciones para la aparición de un puntero colgante, utilizando únicamente llamadas al sistema accesibles por el usuario para trabajar con subprocesos, implementando una primitiva para escribir utilizando un puntero colgante en un área arbitraria de la memoria del kernel, y utilizando esta primitiva para sustituir un salto a la tabla de funciones del kernel para interceptar el flujo de control.
El exploit propuesto sobrescribe el puntero en la tabla de funciones inet6_protos[IPPROTO_UDP]. A continuación, se envía un paquete UDP a la interfaz de bucle invertido mediante IPv6. Al procesarse, se llama al manejador cuyo puntero fue reemplazado en el paso anterior. Para obtener acceso de superusuario, el código del exploit que toma el control añade su propio manejador a /proc/sys/kernel/core_pattern, el cual se ejecuta con privilegios de superusuario cuando el proceso falla.
Además del problema analizado en el núcleo Linux Se han identificado varias vulnerabilidades más peligrosas:
- Januscape (CVE-2026-53359): vulnerabilidad de uso de memoria liberada en componentes de hipervisor. KVMSe ejecuta en la máquina virtual para emular la unidad de gestión de memoria (MMU) y traducir direcciones entre el sistema anfitrión y el invitado. Esta vulnerabilidad afecta a sistemas con procesadores Intel y AMD y permite el acceso de administrador al entorno anfitrión mientras se tiene acceso de administrador en el sistema invitado.
Ya está disponible para su descarga un prototipo de exploit que corrompe el contenido de una estructura de datos del host utilizada para la traducción de direcciones. El exploit publicado provoca el fallo del sistema host, pero el investigador que descubrió el problema afirma haber creado también un exploit para la ejecución de código del host con privilegios de administrador, aunque aún no lo publica para dar tiempo a que se instalen las actualizaciones.
El problema se debe a un error de hace 16 años y se solucionó en las actualizaciones 7.1.3, 6.18.38, 6.12.95, 6.6.144 y 6.1.177. El estado de las correcciones de vulnerabilidades en las distribuciones se puede consultar en estas páginas: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Por identificar la vulnerabilidad, el investigador recibió una recompensa de 250 000 dólares de Google como parte de la iniciativa kvmCTF.
Para salir del sistema de invitados en servidores En procesadores ARM64, el mismo investigador descubrió otra vulnerabilidad de ITScape (CVE-2026-46316), causada por una condición de carrera en el código de emulación del servicio de traducción de interrupciones (vGIC-ITS) en KVM. También se ha publicado un prototipo de exploit para esta vulnerabilidad.
- Bad Epoll (CVE-2026-46242) es una condición de carrera de uso después de la liberación de memoria en el subsistema epoll del kernel. La vulnerabilidad permite que un usuario local sin privilegios ejecute código con privilegios de root. Este problema es notable porque permite ataques a más que solo los sistemas clásicos. Linux-distribuciones, pero también firmware basado en la plataforma Androidy no está bloqueado por el aislamiento de entorno aislado de Chrome. Se demostró una vulnerabilidad funcional en la competición kernelCTF (Google pagó al autor 71337 dólares). Se estima que la fiabilidad de la vulnerabilidad es del 99 %.
El problema comienza desde el kernel. Linux 6.4 (2023). El problema se notificó a los desarrolladores del kernel el 17 de febrero, pero la solución se desarrolló tras varios intentos fallidos recién el 24 de abril. El problema se ha corregido en los kernels 6.18.24, 6.12.83 y 6.6.136. El estado de las correcciones de vulnerabilidades en las distribuciones se puede consultar en estas páginas: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
- CVE-2026-46215 — Una vulnerabilidad de uso de memoria liberada en la implementación de ioctl DRM_IOCTL_GEM_CHANGE_HANDLE del subsistema DRM (Direct Rendering Manager). Un usuario local con acceso a los dispositivos /dev/dri/renderD* (el servicio systemd-logind otorga acceso a todos los usuarios al iniciar una sesión gráfica en las principales distribuciones) puede obtener privilegios de root. Existe un exploit. El problema se manifiesta a partir del kernel 6.18 y se corrige en las actualizaciones 7.0.9 y 6.18.32. El estado de las correcciones de vulnerabilidades en estas distribuciones se puede consultar en estas páginas: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
Fuente: opennet.ru
