Nel kernel di Linux è stata scoperta una vulnerabilità CVE-2026-43499, nota informalmente come GhostLock. Il problema riguarda il codice rtmutex e il meccanismo futex con eredità di priorità, e la sua sfruttabilità potrebbe consentire a un utente locale non privilegiato di elevare i propri diritti a root. Secondo AlmaLinux, la vulnerabilità può anche essere sfruttata da un contenitore per accedere all'host, se il sistema sta utilizzando un kernel non aggiornato.
La radice dell'errore è collegata alla funzione remove_waiter() in kernel/locking/rtmutex.c. Come specificato in una descrizione NVD, durante il rollback di proxy-lock nello scenario futex_requeue(), la funzione lavorava con il task corrente (current), anche se avrebbe dovuto ripulire lo stato di quel task che stava realmente aspettando la lock (waiter::task). Di conseguenza, lo stato pi_blocked_on potrebbe non essere stato ripulito correttamente, lasciando un puntatore appeso e creando le premesse per un use-after-free.
I ricercatori di Nebula Security hanno descritto GhostLock come un errore presente nelle principali distribuzioni Linux dal 2011. La discussione pubblica sulla vulnerabilità ha aumentato il rischio per i server e gli ambienti containerizzati: CloudLinux avverte in particolare che esiste già un proof-of-concept pubblico per CVE-2026-43499, quindi gli amministratori non dovrebbero ritardare l'aggiornamento del kernel.
La correzione nell'upstream consiste nel fatto che remove_waiter() dovrebbe utilizzare waiter::task, e non current, in tutte le operazioni correlate. Ciò è indicato anche da GitHub Advisory Database, dove sono elencate le conseguenze dell'errore: eliminazione errata da rbtree senza la necessaria sincronizzazione, stato pi_blocked_on non ripulito e funzionamento di rt_mutex_adjust_prio_chain() non con il compito corretto.
Si consiglia agli utenti delle distribuzioni Linux di installare gli aggiornamenti del kernel più recenti dai repository ufficiali. La vulnerabilità è di natura locale, pertanto l'accesso remoto di per sé non è consentito, ma sui server multi-utente, sull'infrastruttura CI, sugli hosting e sui sistemi con contenitori, il rischio è notevolmente più elevato: un'esploitazione riuscita trasforma un accesso a basso privilegio già ottenuto in un controllo completo sul sistema.
Fonte: linux.org.ru
