Linuxis on suletud haavatavus ssh-keysign-pwn, mis võimaldab kohalikel kasutajatel lugeda root-faile.

Linuxi tuumas on parandatud haavatavus, millele on antud mitteformaalne nimi ssh-keysign-pwn. Probleem võimaldab kohalikul mitteprivilegeeritud kasutajal lugeda faile, mis peaksid olema kättesaadavad ainult root'ile, sealhulgas privaatseid SSH host-võtmeid ja teatud olukordades ka /etc/shadow. Publikatsiooni hetkel ei olnud probleemile veel määratud eraldi CVE.

Hoolimata nimest ei ole tegu veaga OpenSSH-s kui sshd võrguteenuses, vaid defektiga Linuxi tuuma loogikas, mis on seotud ptrace kontrollide ja juurdepääsuga teise protsessi failihalduritele läbi pidfd_getfd(2). OpenSSH utiliit ssh-keysign osutus üheks mugavaks näitlikustamiseks, kuna see töötab privaatsete host-võtmetega, mis kuuluvad tavaliselt root'ile ja ei ole tavakasutajatele kättesaadavad.

Probleemi olemus funktsioon __ptrace_may_access() töötas ebaõigesti olukorras, kus protsessil oli juba kadunud mälustruktuur mm, kuid avatud failide deskriptorid olid endiselt alles. Protsessi lõpetamise ajal kutsub kernel exit_mm() välja enne, kui sulgeb faile exit_files() kaudu. Selle lühikese ajavahemiku jooksul näib protsess juba nagu tal ei oleks tavapärast kasutaja aadressiruumi, kuid tema avatud failid eksisteerivad ikka. Seetõttu võis «dumpable»-oleku kontroll eirata ning pidfd_getfd() -l oli võimalik saada juurdepääs teise faili deskriptorile, kui UID-d kattusid.

Praktiline stsenaarium on üles ehitatud setuid-programmide ümber, mis esmalt avavad tundliku faili root-i õigustega, seejärel vähendavad privileege ja lõpetavad, omades endiselt avatud deskriptorit. Avaldatud kirjelduses on näiteks toodud ssh-keysign: see avab /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key, pärast mida ta vähendab õigusi ja võib lõpetada, kui EnableSSHKeysign on keelatud. Need võtmed peaksid olema kergesti kättesaadavad ainult root-ile, kuna neid kasutatakse host-põhisel autentimisel.

Teine näide on chage, mis võib avada /etc/shadow, seejärel õigused nullida ja lõpetada. Selle tulemusena ei pruugi rünnak kohe anda shelli root-õigustega, kuid see võimaldab saada failide sisu, mida peetakse tavaliselt äärmiselt turvatuks. Ahnus /etc/shadow on ohtlik võimaluse tõttu, et see võimaldab edasist paroolide offline brute force'i testimist, ja privaatsete SSH host-võtmete lekkimine toob endaga kaasa riski hosti asendamiseks või rünnakuteks usaldusväärsete SSH-skenaaride vastu.

Parandus on juba vastu võetud Linuxi põhivettesse. Commit 31e62c2ebbfd pealkirjaga ptrace: slightly saner ‘get_dumpable()’ logic muudab dumpability kontrolli käitumist: kernel salvestab nüüd user_dumpable'i oleku mm kadumise korral ja nõuab CAP_SYS_PTRACE korrektset kontrolli kõrvaldamiseks. Patch mõjutab include/linux/sched.h, kernel/exit.c ja kernel/ptrace.c.

Haavatavus teatati Qualys'ile ja parandati Linus Torvaldsi poolt 14. mail 2026. Phoronix märgib, et probleemi avaldamise ajaks puudutas see kõiki Linuxi kernel'i väljalaskeid kuni jooksva mainline-puu seisundi parandamiseni. PoC autor märgib ka, et õrnad on kernelid, mis on enne commit 31e62c2ebbfd, sealhulgas stabiilsed harud seisuga 14. mai.

Oluline on märkida, et iseseisvuseks ei ole vaja laadida erilisi tuuma mooduleid, nagu mitmete hiljutiste LPE-haavatavuste puhul. Piisab kohalikust, mitteprivilegeeritud juurdepääsust süsteemile ja sobiva privilegeeritud helper-protsessi olemasolust. Debian'i arendaja Daniel Baumann rõhutas, et see probleem tuleks lahendada tuuma uuendamise ja sellest tuleneva taaskäivitamisega parandatud tuumaga.

Avaldatud repodes on demonstreeritud, et kontroll on tehtud Raspberry Pi OS Bookworm koos tuumaga 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch ja CentOS 9. Sellele nimekirjale tuleks läheneda kui PoC autori andmetele, mitte kui ammendavale nimekirjale: kuna viga on tuuma üldises loogikas, sõltub tegelik katvus tuuma versioonist ja konkreetse jaotuse backport-korrektuuride olemasolust.

Administraatoritele on peamine soovitus lihtne: installige oma jaotuse värskendatud kernelipakett ja taaskäivitage süsteem. Kui on põhjust arvata, et ründajal oli masinal juba kohalik privileegideta juurdepääs, soovitatakse pärast värskendust kaaluda SSH host-võtmete vahetamist ja /etc/shadow kontode kontrollimist, kuna haavatavus on seotud just tundlike failide lugemisega, mitte ainult abstraktse juurdepääsuvajaduse vältimisega.

Debianis on juba alustatud paranduse üleviimist: Baumann teatas upstream-commit'i cherry-pick'ist trixie-fastforward-backports ja merge request'i saatmisest Debian sid. Merge request'is on selgelt märgitud, et kantakse üle commit 31e62c2, et parandada ptrace'i dumpability loogikat, mis võimaldab privileegita kasutajal lugeda root-faile.

Allikas: linux.org.ru