A Linux kernel vulnerability has been fixed, informally named ssh-keysign-pwn. The issue allows a local unprivileged user to read files that should only be accessible to root, including private SSH host keys and, in specific scenarios, /etc/shadow. As of publication, a separate CVE for the issue has not yet been assigned.
Despite the name, it is not a bug in OpenSSH as the sshd network server, but rather a defect in the logic of the Linux kernel related to ptrace checks and access to file descriptors of another process through pidfd_getfd(2). The OpenSSH utility ssh-keysign turned out to be a convenient example of exploitation because it works with private host keys, which typically belong to root and are inaccessible to ordinary users.
The essence of the error lies in the fact that the function __ptrace_may_access() incorrectly handled the state of a process whose memory structure mm had disappeared, but which still had open file descriptors. During process termination, the kernel calls exit_mm() before closing files through exit_files(). In this short gap, the process appears to not have the usual user address space, but its open files still exist. Because of this, the 'dumpable' state check could be bypassed, and pidfd_getfd() could access another's file descriptor with a matching UID.
A practical scenario revolves around setuid programs that first open a sensitive file with root privileges, then drop privileges and terminate, still holding an open descriptor. The published description cites ssh-keysign as an example: it opens /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key, then drops rights and may terminate if EnableSSHKeysign is disabled. These keys should only be accessible to root as they are used for host-based authentication.
The second example is chage, which can open /etc/shadow, then drop effective rights and terminate. As a result, the attack does not necessarily provide an immediate shell with root rights, but it allows access to the contents of files that are typically considered critically confidential. The leak of /etc/shadow is dangerous due to the potential for subsequent offline password cracking, and the leak of private SSH host keys poses the risk of host spoofing or attacks on trusted SSH scenarios.
A javítás már bekerült a Linux főágába. A 31e62c2ebbfd az 'ptrace: slightly saner ‘get_dumpable()’ logic' címmel a dumpability ellenőrzés viselkedését módosítja: a kernel mostantól megőrzi a user_dumpable állapotát az mm eltűnésekor, és megköveteli a CAP_SYS_PTRACE helyes ellenőrzését a megkerüléshez. A javítás érinti az include/linux/sched.h, kernel/exit.c és kernel/ptrace.c fájlokat.
A sebezhetőséget a Qualys jelentette, és Linus Torvalds 2026. május 14-én javította. A Phoronix megjegyzi, hogy a közlés időpontjában a probléma a Linux kernel összes kiadását érintette, egészen a legutolsó mainline ágig, a javítás alkalmazásáig. A PoC szerzője is megemlíti, hogy a 31e62c2ebbfd előtti kernel verziók sebezhetőek, beleértve a stabil ágakat, amelyek 2026. május 14-én tartottak.
Fontos különbség, hogy a kihasználásához nem szükséges specifikus kernel modulok betöltése, mint a közelmúltban történt LPE sebezhetőségek esetében. Elég a rendszeren belüli nem privilegizált hozzáférés, és egy megfelelő privilegizált segédprocesszus jelenléte. A Debian fejlesztője, Daniel Baumann egy önkéntes megjegyezte, aki támogatja a magyar lokalizálást, az írástudatlan változat elterjedtebb és ismertebb a legtöbb felhasználó számára (például a macOS felületén az Apple "Másolás"-t használ, míg a Windows alatt a Microsoft, amelynek felhasználói száma sokkal nagyobb, mint a macOS felhasználóké, "Másolni"-t használ). A ukrán és belorusz lokalizációkban is a "Másolni"-t használják. Emellett a nyelv nem statikus, folyamatosan fejlődik és változik, a szabályai pedig a nyelvet beszélők többségéhez igazodnak., hogy ezt a problémát kernel frissítéssel és a javított kernelbe való újraindítással kell orvosolni.
A közzétett demonstrációs tároló a Raspberry Pi OS Bookwormról készült ellenőrzést tartalmaz 6.12.75-ös kernel verzióval, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch és CentOS 9 rendszereken. Ezt a listát a PoC szerzőjének adataként kell kezelni, nem pedig kimerítő felsorolásként: mivel a hiba a kernel általános logikájában található, a tényleges lefedettség a kernel verziójától és az adott disztribúcióban elérhető backport javítástól függ.
Adminisztrátorok számára az alapvető ajánlás egyszerű: telepítsenek frissített kernel csomagot a disztribúciójukból és indítsák újra a rendszert. Ha van ok arra gondolni, hogy a gépen már volt helyi, nem privilegizált hozzáférés a támadótól, a frissítés után érdemes további lépéseket is megfontolni, mint az SSH host kulcsok rotációja és az /etc/shadow /fiókok ellenőrzése, mivel magának a sebezhetőségnek a lényege éppen a szenzitív fájlok olvasásában rejlik, nem csupán a hozzáférés ellenőrzésének absztrakt megkerülésében.
A Debian már elkezdte a javítás átültetését: Baumann bejelentette a cherry-pick upstream commitot a trixie-fastforward-backports-ba és elküldte a merge kérdést a Debian sid-nek. A merge kérésben kifejezetten fel van tüntetve, hogy a 31e62c2 commitot a dumpability ptrace logikájának javítása érdekében viszik át, amely lehetővé teszi, hogy a nem privilegizált felhasználó olvassa a root fájlokat.
Forrás: linux.org.ru
