פגיעויות ליבת GhostLock, BadEpoll ו-Januscape Linux, המאפשר לך לקבל הרשאות רוט ולעקוף בידוד KVM

נחשף מידע על פגיעות (CVE-2026-43499) בליבת המערכת. Linux, בשם הקוד GhostLock, המאפשר למשתמש מקומי ללא הרשאות לקבל הרשאות root במערכת ולברוח ממכולות מבודדות. כאשר משתמשים בו בשילוב עם פגיעויות אחרות בדפדפן, הבעיה שזוהתה ניתנת לניצול לצורך ביצוע קוד מרחוק עם הרשאות root בעת פתיחת דף אינטרנט בעל מבנה מיוחד. הבעיה מתבטאת החל בליבת המערכת. Linux 2.6.39 (2011).

נטען כי הפגיעות ניתנת לניצול בכל ההפצות שיצאו ב-15 השנים האחרונות. קיים פרצה פעילה, ויוצריה קיבלו פרס של 92337 דולר מגוגל עבור הסלמת הרשאות מוצלחת בסביבה עם ליבת KernelCTF (Capture the Flag), הכוללת תיקונים נוספים לחסימת שיטות פרצה אופייניות. שיעור ההצלחה של הפרצה מוערך ב-97%. הפגיעות התגלתה באמצעות ערכת הכלים של VEGA AI.

התיקון המכיל את התיקון התקבל לבסיס הקוד של הליבה ב-21 באפריל ונכלל בגרסאות הליבה 7.1.0, 6.18.36, 6.12.95, 6.6.144 ו-6.1.177. ניתן להעריך את מצב תיקוני הפגיעויות בהפצות בדפים אלה: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, ג'נטו, ארץ', פדורה. אין פתרונות עוקפים לבעיה זו.

הפגיעות קיימת במימוש של נעילות futex ונגרמת עקב שגיאת use-after-free, המתרחשת במהלך מנגנון ירושה של עדיפויות המונע היפוך עדיפויות (משימה בעלת עדיפות גבוהה שנחסמת בזמן ההמתנה למשאב המוחזק על ידי משימה בעלת עדיפות נמוכה שיהיה זמין). כאשר רכישת נעילה נכשלת, הליבה מבטלת את המצב וקוראת לפונקציית הניקוי. בנסיבות מסוימות, פונקציית הניקוי נקראת בזמן הלא נכון ומשחררת מבנה נתונים השייך למשימה אחרת, ומשאירה מצביע תלוי המצביע על זיכרון שכבר שוחרר.

ניצול הפגיעות מורכב מיצירת תנאים להופעת מצביע תלוי, שימוש בקריאות מערכת נגישות למשתמש בלבד לעבודה עם הליכים, יישום פרימיטיבי לכתיבה באמצעות מצביע תלוי לאזור שרירותי של זיכרון הליבה, ושימוש בפרימיטיבי זה כדי להחליף קפיצה לטבלת פונקציית הליבה כדי ליירט את זרימת הבקרה.

הניצול המוצע דורס את המצביע בטבלת הפונקציות inet6_protos[IPPROTO_UDP]. לאחר מכן, חבילת UDP נשלחת לממשק הלולאה החוזרת דרך IPv6. לאחר העיבוד, נקרא המטפל שהמצביע שלו הוחלף בשלב הקודם. כדי לקבל גישת root, קוד הניצול שמשיג שליטה מוסיף את המטפל שלו ל-/proc/sys/kernel/core_pattern, אשר נקרא עם הרשאות root במקרה של קריסת התהליך.

בנוסף לבעיה שנדונה בליבת הגרעין Linux זוהו מספר פגיעויות מסוכנות נוספות:

• Januscape ‏(CVE-2026-53359) – פגיעות של שימוש לאחר שחרור ברכיבי היפר-ויזור KVM, שבוצע בצד המכונה הווירטואלית כדי לדמות את יחידת ניהול הזיכרון (MMU) ולתרגם כתובות בין המערכת המארחת למערכת האורחת. הפגיעות משפיעה על מערכות עם מעבדי Intel ו-AMD ומאפשרת גישת root לסביבת המארח תוך כדי גישת root במערכת האורחת.

  קיימת אפשרות להורדה של אב טיפוס של פרצת גישה אשר משחית את תוכן מבנה הנתונים בצד המארח המשמש לתרגום כתובות. הפרצת הגישה שפורסמה גורמת לקריסת מערכת המארח, אך החוקר שגילה את הבעיה טוען שיצר גם פרצת גישה להפעלת קוד בצד המארח עם הרשאות root, אך עדיין לא מפרסם אותה כדי לאפשר זמן להתקנת עדכונים.

  הבעיה נגרמת על ידי באג בן 16 שנים ותוקנה בעדכונים 7.1.3, 6.18.38, 6.12.95, 6.6.144 ו-6.1.177. ניתן להעריך את סטטוס תיקוני הפגיעויות בהפצות בדפים הבאים: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. עבור זיהוי הפגיעות, החוקר קיבל פרס של 250 דולר מגוגל כחלק מיוזמת kvmCTF.

  כדי לצאת ממערכת האורח שרתים במעבדי ARM64, אותו חוקר גילה פגיעות נוספת ב-ITScape (CVE-2026-46316), שנגרמה על ידי מצב מרוץ בקוד האמולציה vGIC-ITS (Interrupt Translation Service) ב-KVM. אב טיפוס של ניצול לבעיה זו פורסם גם כן.

• ‏Bad Epoll (CVE-2026-46242) הוא תנאי מרוץ מסוג use-after-free בתת-מערכת ה-epoll של הליבה. הפגיעות מאפשרת למשתמש מקומי, ללא הרשאות, לבצע קוד עם הרשאות root. בעיה זו בולטת משום שהיא מאפשרת התקפות על יותר מאשר רק מערכות קלאסיות. Linuxהפצות, אבל גם קושחה המבוססת על הפלטפורמה Android, ואינו חסום על ידי בידוד ארגז החול של כרום. ניצול לרעה פעיל הודגם בתחרות kernelCTF (גוגל שילמה למחבר 71337 דולר). אמינות הניצול מוערכת ב-99%.

  הבעיה מתחילה מהקרנל Linux 6.4 (2023). הבעיה דווחה למפתחי הליבה ב-17 בפברואר, אך תיקון פותח לאחר מספר ניסיונות כושלים רק ב-24 באפריל. הבעיה תוקנה בליבות 6.18.24, 6.12.83 ו-6.6.136. ניתן להעריך את מצב תיקוני הפגיעויות בהפצות בדפים אלה: Debian, Ubuntu, SUSE/openSUSE, RHEL, ג'נטו, ארץ', פדורה.

• CVE-2026-46215 - גישה לאחר שחרור במימוש ioctl של DRM_IOCTL_GEM_CHANGE_HANDLE בתת-המערכת DRM (מנהל רינדור ישיר). משתמש מקומי עם גישה למכשירי /dev/dri/renderD* (שירות systemd-logind מעניק גישה לכל המשתמשים בעת הפעלת הפעלה גרפית בכל ההפצות העיקריות) יכול לקבל הרשאות root. קיים ניצול לרעה. הבעיה מתבטאת החל מגרסת ליבה 6.18 ותוקנה בעדכונים 7.0.9 ו-6.18.32. ניתן להעריך את מצב תיקוני הפגיעויות בהפצות אלו בדפים אלה: Debian, Ubuntu, SUSE/openSUSE, RHEL, ג'נטו, ארץ', פדורה.

מקור: OpenNet.ru