Linuxis on suletud ssh-keysign-pwn haavatavus, mis võimaldab kohalikul kasutajal lugeda root-faile.

Linuxi tuumas parandati haavatavus, millele anti mitteametlik nimi ssh-keysign-pwn. Probleem võimaldab kohalikul madala privileegiga kasutajal lugeda faile, mis peaksid olema saadaval ainult root'ile, sealhulgas privaatseid SSH host-võtmeid ja teatud stsenaariumides /etc/shadow. Publikatsiooni hetkel polnud probleemile eraldi CVE veel määratud.

Hoolimata nimest ei ole tegu veaga OpenSSH-s kui võrguteenuses sshd, vaid defektiga Linuxi tuuma loogikas, mis on seotud ptrace'i kontrollide ja juurdepääsuga teise protsessi failidesse läbi pidfd_getfd(2). OpenSSH utiliit ssh-keysign osutus üheks mugavaks ekspluateerimise näiteks, kuna see töötab privaatsete host-võtmetega, mis tavaliselt kuuluvad root'ile ja ei ole tavalistele kasutajatele kättesaadavad.

Veateadete olemus on see, et funktsioon __ptrace_may_access() töötas vale protsessiseisundiga, millel oli juba kadunud mälu struktuur mm, kuid avatud failide descriptorid jäid samas alles. Protsessi lõpetamise ajal kutsub tuum välja exit_mm() enne failide sulgemist exit_files() kaudu. Selle lühikese ajavahemiku jooksul näeb protsess välja nagu tal puuduks tavaline kasutaja aadressiruum, kuid avatud failid eksisteerivad endiselt. Seetõttu võib «dumpable»-seisundi kontroll jäetuks ning pidfd_getfd() võib saada juurdepääsu teise failide deskriptorile vastava UID-ga.

Praktiline stsenaarium keskendub setuid-programmidele, mis avavad esmalt tundliku faili root-õigustega, seejärel tühistavad õigused ja lõpetavad, omades endiselt avatud deskriptorit. Avaldatud kirjelduses on näiteks toodud ssh-keysign: see avab /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key, pärast mida tühistab õigused ja võib lõpetada, kui EnableSSHKeysign on välja lülitatud. Need võtmed peaksid olema kättesaadavad ainult root'ile, kuna neid kasutatakse host-põhistes autentimistes.

Teine näide on chage, mis võib avada /etc/shadow, seejärel tühistada efektiivsed õigused ja lõpetada. Seetõttu ei tähenda rünnak tingimata kohe root-õigustega shelli saamist, kuid see võimaldab saada failide sisu, mida tavaliselt peetakse kriitiliselt privaatseks. /etc/shadow lekke oht on võimalus järgnevalt läbi viia offline-paroolide proovimist, samas kui privaatsete SSH host-võtmete lekke risk on hosti petmine või usaldusväärsete SSH-stsenaariumide rünnak.

Parandus on juba aktsepteeritud Linuxi põhivõrku. Commit 31e62c2ebbfd pealkirjaga ptrace: veidi ratsionaalsem „get_dumpable()“ loogika muudab dumpability kontrollimise käitumist: kernel salvestab nüüd user_dumpable seisundi mm kadumise korral ja nõuab CAP_SYS_PTRACE korrektset kontrollimist, et sellest mööda minna. Patch mõjutab include/linux/sched.h, kernel/exit.c ja kernel/ptrace.c.

Vulnerabiliteet teatati Qualys'ile ja selle parandas Linus Torvalds 14. mail 2026. Phoronix märgib, et probleemi avalikustamise ajal mõjutas see kõiki Linuxi kernel versioone kuni hetke mainline-puu seisuni enne paranduse tegemist. PoC autor märgib ka, et haavatavad on kernelid kuni commit 31e62c2ebbfd, sealhulgas stabiilsed harud 14. mai seisuga.

Eraldi oluline on, et ekspluateerimiseks ei ole vaja laadida spetsiifilisi kernelimooduleid, nagu mõnede viimaste LPE haavatavuste puhul. Piisab kohalikust privileegita juurdepääsust süsteemile ja sobiva privileegiga abiprotsessi olemasolust. Debian'i arendaja Daniel Baumann operatsioonide, et see probleem tuleks lahendada kernel'i uuendamise ja sellele järgneva käivitamisega parandatud kernel'isse.

Avaldatud repo demonstreerib kontrolli Raspberry Pi OS Bookworm'i kernel'i 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch ja CentOS 9. Sellele nimekirjale tuleks läheneda autori PoC andmetena, mitte kui ammendavale loetelule: kuna viga on üldises kernel'i loogikas, sõltub tegelik katvus kernel'i versioonist ja konkreetsest distributsioonist saadaval olevast backport-parandamisest.

Administraatoreid puudutav peamine soovitus on lihtne: installige oma distributsioonilt uuendatud kernel'i pakett ja taaskäivitage süsteem. Kui on olemas alust arvata, et masinasse on juba sisenenud kohalik privileegita juurdepääs, tuleks pärast uuendust kaaluda SSH host-võti keeramist ja /etc/shadow/ kasutajakontode kontrollimist, kuna haavatavus on seotud tundlike failide lugemisega, mitte ainult abstraktse juurdepääsukontrolli ületamisega.

Debian'is on juba alustatud paranduse viimist: Baumann teatas upstream-commiti cherry-pick'ist trixie-fastforward-backports'i ning merge request'i saatmisest Debian sid'i. Merge request'is on selgelt märgitud, et kantakse üle commit 31e62c2 dumpability ptrace-loogika parandamiseks, mis võimaldab privileegita kasutajal lugeda root-failide sisu.

Allikas: linux.org.ru