GhostLock, BadEpoll ja Januscape — haavatavused Linuxi tuumas, mis võimaldavad saada root õigusi ja mööduda KVM-isolatsioonist

Avatud teave Linuxi tuuma haavatavuse (CVE-2026-43499) kohta, mille koodinimi on GhostLock. See võimaldab privileege mitteomaval kohaliku kasutajal saada root õigused süsteemis ning väljuda isoleeritud konteineritest. Koos teiste brauserite haavatavustega võib tuvastatud probleem kasutada kaugkoodide täitmiseks root õigustes, kui avatakse spetsiaalselt kujundatud veebileht. Probleem on avastatud alates Linuxi tuumast 2.6.39 (2011. aasta).

Kostab, et haavatavust saab kasutada kõigis distributsioonides, mis on välja antud viimase 15 aasta jooksul. On olemas töökindel eksploit, mille loomise eest said autorid Google'ilt auhinda 92337 dollarit edukate privileegide tõstmise eest KernelCTF (Capture the Flag) keskkonnas, mis sisaldab täiendavaid patuseid standardsete eksploitimismeetodite blokeerimiseks. Eksploidimise eduvõimalus on hinnatud 97% ulatuses. Haavatavus avastati AI-tööriista VEGA abil.

Päivitys, mis sisaldab parandust, võeti tuumakoodibaasi vastu 21. aprillil ning see sisaldus versioonides tuum 7.1.0, 6.18.36, 6.12.95, 6.6.144 ja 6.1.177. Haavatavuste korrigeerimise staatuses distributsioonides saab otsida neist lehtedest: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. Probleemi blokeerimise võimalusi ei ole.

Haavatavus esineb futexi lukustuste rakenduses ja on põhjustatud mälule pääsemisest pärast selle vabastamist, mis tekib prioriteedi pärimise mehhanismi töötamise ajal, et vältida prioriteedi tagurpidi (kõrge prioriteediga ülesande lukustamine madala prioriteediga ülesande vabastamise oote tõttu). Kui lukustamise seadmine ebaõnnestub, taastab tuum oleku ja kutsub üles puhastamise funktsiooni. Teatud asjaolude korral kutsutakse puhastamise funktsioon valeaegadel ja vabastab teise ülesande andmestruktuuri, mille järel jääb rippuv näidik (dangling pointer), mis viitab juba vabastatud mälule.

Haavatavuse kasutamine seisneb tingimuste loomises, mis põhjustavad rippuva näidiku ilmumise, kasutades ainult kasutajale kergesti ligipääsetavaid süsteemikõnesid niiditöötluseks, primitiivi rakendamise, et kirjutada rippuva näidikuga juhuslikku tuuma mälu piirkonda, ja selle primitiivi kasutamist, et asendada üleminek tuuma funktsioonide tabelis, et katkestada juhtimisvoog.

Pakutud eksploit sisaldab näidiku ümberkirjutamist inet6_protos[IPPROTO_UDP] funktsioonide tabelis, pärast mida saadetakse loopback-liidesesse üle IPv6 UDP-pakett, mille töötlemise käigus käivitatakse käitleja, mille näidik asendati eelmisel etapil. Root-juurdepääsu saamiseks kirjutab eksploit’i kontrolli saanud kood oma käitleja /proc/sys/kernel/core_pattern, mis kutsub välja root’i õigustes protsesside kokkuvarisemise korral.

Lisaks käsitletud probleemile Linuxi tuumas on tuvastatud veel mitmeid ohtlikke haavatavusi:

• Januscape (CVE-2026-53359) — mälule juurde pääsemine pärast selle vabastamist (use-after-free) hüperviisori komponentides, KVMmida teostatakse virtuaalmasina poolel mälu juhtimise ploki (MMU) emuleerimiseks ja aadresside tõlkimiseks host- ja külastussüsteemi vahel. Haavatavus ilmneb Intel ja AMD protsessoritega süsteemides ja võimaldab juurdepääsu root õigustega host-keskkonnale, kui külastussüsteemis on root õigused.

  Laadimiseks on saadaval eksploidi prototüüp, mis rikub host-süsteemi aadresside tõlkimisel kasutatava andmestruktuuri sisu. Avaldatud eksploidi tulemuseks on host-süsteemi kokkuvarisemine, kuid probleemi tuvastanud teadlane on samuti loonud eksploidi, et käivitada kood host-keskkonnas root õigustes, kuid ei avalda seda veel, et anda aega uuenduste installimiseks.

  Probleem on põhjustatud 16 aastat tagasi tehtud veast ja see on kõrvaldatud värskendustes 7.1.3, 6.18.38, 6.12.95, 6.6.144 ja 6.1.177. Turvavea kõrvaldamise staatust jaotustes saab hinnata nende lehtede järgi: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Haavatavuse tuvastanud teadlane sai Google'ilt 250 000 dollari suuruse auhinna kvmCTF algatuse raames.

  Külastussüsteemist väljumiseks serverites ARM64 protsessoritel avastas sama teadlane teise haavatavuse ITScape (CVE-2026-46316), mis on põhjustatud koodis toimuva vanusevaate olukorrast vGIC-ITS (Interrupt Translation Service) KVM-is. Selle probleemi jaoks on samuti avaldatud eksploitide prototüüp.

• Halb Epoll (CVE-2026-46242) — vanusevaate seisund, mis viib mälule juurdepääseni pärast selle vabastamist epoll-i tuumasub-süsteemis. Haavatavus võimaldab kohalikul mittekasutajal käivitada koodi root-õigustes. Probleem on tähelepanuväärne, kuna see võimaldab rünnata mitte ainult klassikalisi Linuxi jaotusi, vaid ka Androidi platvormile tuginevaid püsivara ning seda ei blokeeri Chrome'i sandbox-isolatsioon. Tööline eksploitdemonstratsioon toimus konkurentsitel kernelCTF (Google maksis autorile 71337 dollarit). Eksploaadi töökindluse tase hinnatakse 99%-ks.

  Probleem ilmneb alates Linuxi kernelist 6.4 (2023. aasta). Probleemist teavitas arendajaid 17. veebruaril, kuid parandust suudeti arendada pärast mitmeid ebaõnnestunud katseid alles 24. aprillil. Probleem on lahendatud kerneli versioonides 6.18.24, 6.12.83, 6.6.136. Haavatavuste lahendumise staatust jaotustes saab hinnata järgmistelt lehtedelt: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

• CVE-2026-46215 — mälu juurdepääs pärast selle vabastamist ioctl DRM_IOCTL_GEM_CHANGE_HANDLE rakenduses DRM (Direct Rendering Manager) alamsüsteemis. Kohalik kasutaja, kellel on juurdepääs seadmetele /dev/dri/renderD* (systemd-logind teenus võimaldab juurdepääsu kõigile kasutajatele graafilise sessiooni käivitamise ajal kõigis peamistes jaotustes), võib saada root õigused süsteemis. Eksploit on olemas. Probleem ilmneb alates kernelist 6.18 ja on lahendatud uuendustes 7.0.9 ja 6.18.32. Haavatavuste lahendumise staatust jaotustes saab hinnata järgmistelt lehtedelt: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Allikas: opennet.ru