Linuxi tuumas avastati haavatavus (CVE-2026-43499) nimega GhostLock, mis võimaldab privileegideta kohalikul kasutajal saada root õigusi süsteemis ja väljuda isoleeritud konteineritest. Koos teiste brauserite haavatavustega võib see probleem kasutada kaugkoodi täitmiseks root õigustes, kui avatakse spetsiaalselt kujundatud veebileht. Probleem ilmnes alates Linuxi tuumast 2.6.39 (2011. aastal).
On väidetud, et haavatavust saab ära kasutada kõigis jaotustes, mis on välja antud viimase 15 aasta jooksul. Töökäsk on olemas, mille looja sai Google'ilt 92 337 dollari suuruse preemia edukate privileegide tõstmise eest KernelCTF (Capture the Flag) keskkonnas, kus on lisapatchid tavapäraste ekspluateerimismeetodite blokeerimiseks. Ekspluateerimise edukuse määr on hinnanguliselt 97%. Haavatavus tuvastati AI-tööriistade VEGA abil.
Paranduse patch võeti koodibaasi vastu 21. aprillil ja see lisati versioonidesse 7.1.0, 6.18.36, 6.12.95, 6.6.144 ja 6.1.177. Haavatavuste kõrvaldamise staatust distributsioonides saab hinnata lehtedel: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. Probleemi blokeerimise võimalusi ei ole.
Haavatavus esineb futex blokeeringute rakendamisel ning on põhjustatud mälule juurdepääsust pärast selle vabastamist, mis tekib prioriteedi pärimise mehhanismi töös, mis takistab prioriteetide pööramist (kõrge prioriteediga ülesande blokeerimine madala prioriteediga ülesande poolt vabastatava ressursi ootamisel). Kui blokeeringu seadmine ebaõnnestub, tagastab kernel oleku ja kutsub ülesande puhastamise funktsiooni. Teatud tingimustel kutsutakse puhastamise funktsioon mitte õigeaegselt ning vabastab teise ülesande andmestruktuuri, mille tulemusena jääb kõikuva viidatud (dangling pointer), mis suunab juba vabastatud mälule.
Rünnaku ülesanne on luua tingimused eri alustatud viidatakse, kasutades kõiki kasutaja poolt saadaval olevaid süsteemi kutseid voogude haldamiseks, realiseerides viidatud primitiivse kirjutamise mehhanismi viidatud viitaja kaudu suvalisse tuuma mälu piirkonda ning rakendades seda primitiivi tuumafunktsioonide tabelis ülemineku varastamiseks.
Kavandatud eksploit kasutab inet6_protos[IPPROTO_UDP] funktsioonide tabelis viitaja üle kirjutamiseks, pärast mida saadetakse loopback-liidesele IPv6 kaudu UDP-pakett, mille töötlemise käigus kutsutakse välja töötleja, mille viitaja asendati eelnevas etapis. Juurtaseme ligipääsu saamiseks kirjutab kontrolli saavutanud eksploit koodi /proc/sys/kernel/core_pattern oma töötleja, mis kutsub esile juurõigustega protsesside kokkuvarisemisel.
Lisaks käsitletud probleemile on Linuxi tuumas avastatud veel mitu ohtlikku haavatavust:
- Januscape (CVE-2026-53359) — mälu juurde pääsemine pärast selle vabastamist (use-after-free) hüpervisorite komponentides KVM, mis toimub virtuaalmasina küljel mälu haldamise (MMU) kontrollploki ja aadresside tõlke emuleerimiseks host- ja külalisüsteemi vahel. Haavatavus avaldub Intel ja AMD protsessoritega süsteemides ning võimaldab root-õigustega juurdepääsu host-ümbrusele, kui külalisüsteemis on juba root-õigused.
Pilootversioon eksploitist, mis kahjustab host-süsteemi küljel aadresside tõlkes kasutatava andmestruktuuri sisu, on allalaadimiseks saadaval. Avaldatud eksploit põhjustab host-süsteemi kokkuvarisemise, kuid probleemi avastanud teadlase väidete kohaselt on ta loonud ka eksploit-koodi täitmiseks host-ümbruses root-õigustega, kuid ei kavatse seda veel avaldada, et anda aega värskenduste paigaldamiseks.
Probleem on põhjustatud 16 aastat tagasi tehtud veast ja see on kõrvaldatud värskendustes 7.1.3, 6.18.38, 6.12.95, 6.6.144 ja 6.1.177. Turvavaru kõrvaldamise staatust erinevates distributiivides saab hinnata järgmiste lehtede abil: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Haavatavuse avastamise eest sai teadlane 250 000 dollarit Google'i auhinda kvmCTF algatuse raames.
Väljumiseks külalisüsteemist serverites ARM64 protsessoritega sama uuringu raames avastati teine haavatavus ITScape (CVE-2026-46316), mis on põhjustatud võistlusolukorrast vGIC-ITS (Interrupt Translation Service) simuleerimise koodis KVM-is. Selle probleemi jaoks on samuti avaldatud eksploitatsiooni prototüüp.
- Bad Epoll (CVE-2026-46242) — võistlusolukord, mis põhjustab mälu juurde pääsemise pärast selle vabastamist epolli tuumaalises alamprogrammis. Haavatavus võimaldab kohalikel, privileege mitteomavatel kasutajatel käivitada koodi root-õigustega. Probleem on märkimisväärne, kuna see võimaldab rünnata mitte ainult klassikalisi Linuxi jaotusi, vaid ka Androidi platvormi põhiseid püsivara ning ei ole sandbox isolatsiooniga Chromes blokeeritud. Töövõimeline eksploit on demonstreeritud kernelCTF võistlusel (Google maksis autorile 71 337 dollarit). Eksploitatsiooni töökindlus on hinnatud 99%-ks.
Probleem ilmneb alates Linuxi tuumast 6.4 (2023. aasta). Probleemist teavitati tuuma arendajaid 17. veebruaril, kuid lahenduse koostamine õnnestus pärast mitmeid ebaõnnestunud katseid ainult 24. aprillil. Probleem on kõrvaldatud tuumades 6.18.24, 6.12.83, 6.6.136. Haavatavuste kõrvaldamise staatust eri distributsioonides saab hinnata järgmistele lehtedele: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
- CVE-2026-46215 — mälu juurde pääs pärast selle vabastamist DRM (Direct Rendering Manager) alam süsteemi ioctl DRM_IOCTL_GEM_CHANGE_HANDLE rakenduses. Kohalik kasutaja, kellel on juurdepääs seadmetele /dev/dri/renderD* (systemd-logind teenus annab juurdepääsu kõigile kasutajatele graafilise seansi käivitamisel suurtes jaotustes), võib saavutada root õigused süsteemis. Ekspluataar on olemas. Probleem ilmneb alates 6.18 tuumast ja on kõrvaldatud uuendustes 7.0.9 ja 6.18.32. Haavatavuste kõrvaldamise staatust eri distributsioonides saab hinnata järgmistele lehtedele: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
Allikas: opennet.ru
