18 podatności w jądrze Linux z exploitami umożliwiającymi uzyskanie uprawnień root w systemie

Badacze z firmy Nebula Security ujawnili informacje o 18 lukach w jądrze Linux i przygotowali dla nich exploity, które umożliwiają nieuprzywilejowanemu lokalnemu użytkownikowi uzyskanie uprawnień root w systemie. Luki zostały usunięte w różnych wiosennych i letnich aktualizacjach jądra. Wykryte problemy:

• CVE-2026-43502 (eksploitat) — luka w systemie sieciowym RDS (Reliable Datagram Sockets), spowodowana niewłaściwym czyszczeniem przydzielonych stron pamięci po awarii wysyłania danych w trybie zerocopy na etapie przed umiejscowieniem komunikatu w kolejce. Problem nosi kodową nazwę ZcopyReaper, manifestuje się od wersji jądra 4.17 i został usunięty w jądrze w maju. Wykorzystanie tej luki jest możliwe na systemach z jądrem skompilowanym z opcjami CONFIG_INET=y, CONFIG_AIO=y, CONFIG_RDS=y|m oraz CONFIG_RDS_TCP=y|m (zazwyczaj są ustawiane domyślnie). Nie są wymagane uprawnienia do pracy z przestrzeniami nazw identyfikatorów użytkowników do przeprowadzenia ataku. Działanie eksploita zostało zaprezentowane w openSUSE z domyślnym jądrem 6.4.
• CVE-2026-80714 (eksploitat) — luka w podsystemie IPVS (IP Virtual Server), spowodowana dostępem do pamięci po jej zwolnieniu z powodu błędnego ustawienia flagi IP_VS_CONN_F_ONE_PACKET podczas synchronizacji połączenia, co po wygaśnięciu czasu życia połączenia prowadzi do pozostawienia w tabeli haszującej dangling pointers, wskazujących na już zwolnioną strukturę ip_vs_conn. Problem został usunięty 19 sierpnia. Działanie eksploita zostało zaprezentowane w Debianie 13 z jądrem 6.12.
• CVE-2026-74597 (eksploitat) — luka w sterowniku ip6_tunnel, spowodowana błędnym zastosowaniem przesunięcia do enkapsulowanego pakietu dla opcji HAO (Home Address Option), obliczonego na podstawie zewnętrznego pakietu. Poprzez przesyłanie enkapsulowanego pakietu z odpowiednio sformatowanym nagłówkiem można uzyskać zapis danych poza przydzielonym buforem. Problem został usunięty 19 sierpnia. Działanie eksploita zostało zaprezentowane w CentOS z jądrem 6.12.
• CVE-2026-74581 (eksploitat) — luka w kodzie obsługi tabel routingu IPv6, spowodowana dostępem do pamięci po jej zwolnieniu (po zwolnieniu pamięci pod trasą, aktywny wskaźnik pozostał przy tej trasie). Problem został usunięty 19 sierpnia. Działanie eksploita zostało zaprezentowane w Debianie 13 z jądrem 6.12.
• CVE-2026-74480 (eksploitat) — luka w podsystemie mostków sieciowych, spowodowana dostępem do pamięci po jej zwolnieniu w kodzie opuszczania grupy multicast (po usunięciu elementu z listy powiązanej cykl nie został przerwany i podczas iteracji występowało odwołanie do wskaźnika na listę portów, która pozostała po usunięciu). Problem został usunięty 9 sierpnia. Działanie eksploita zostało zaprezentowane w RHEL 10 z jądrem 6.12.
• CVE-2026-72255 (eksploit) — luka w module nf_queue systemu netfilter, spowodowana dostępem do pamięci po jej zwolnieniu, występująca w sytuacji, gdy po usunięciu mostu sieciowego powiązany z nim pakiet wciąż znajdował się w kolejce NFQUEUE. Problem został rozwiązany 24 lipca. Działanie eksploita zostało zademonstrowane w Ubuntu 26.04 z jądrem 7.0.
• CVE-2026-72137 (eksploit) — luka w module IPSec XFRM, prowadząca do podwójnego zwolnienia struktury skb przy błędzie wysyłania pakietu keepalive. Problem został rozwiązany 30 czerwca. Działanie eksploita zostało zademonstrowane w Ubuntu 26.04 z jądrem 7.0.
• CVE-2026-68376 (eksploit) — luka w implementacji protokołu SCTP, prowadząca do przepełnienia bufora z powodu nieprawidłowego obliczenia rozmiaru tablicy dla przechowywania identyfikatorów HMAC. Problem został rozwiązany 3 sierpnia. Działanie eksploita zostało zademonstrowane w Ubuntu 26.04 z jądrem 7.0.
• CVE-2026-68162 (eksploit) — luka w implementacji protokołu SCTP, prowadząca do dostępu do pamięci po jej zwolnieniu przy próbie zmiany parametru sysctl po zamknięciu gniazda kontrolnego. Problem został rozwiązany 10 kwietnia. Działanie eksploita zostało zademonstrowane w Ubuntu 26.04 z jądrem 7.0.
• CVE-2026-64560 (eksploit) — luka w posix-cpu-timer, prowadząca do dostępu do pamięci po jej zwolnieniu z powodu stanu wyścigu między usunięciem timera a wywołaniem exec() po zmianie lidera grupy wątków. Problem został rozwiązany 5 lipca. Działanie eksploita zostało zademonstrowane na urządzeniu Google Pixel z platformą Android.
• CVE-2026-52933 (eksploit) — luka w subsystemie io_uring, prowadząca w przypadku ustawienia flagi IO_POLL_CANCEL_FLAG do dostępu do pamięci po jej zwolnieniu z powodu interpretacji wartości atomic_read() jako liczby ujemnej przy porównaniu z licznikiem referencji. Problem został rozwiązany 15 kwietnia. Działanie eksploita zostało zademonstrowane w Fedora Linux z jądrem 6.19.
• CVE-2026-52924 (eksploit) — luka w implementacji protokołu SCTP, prowadząca do dostępu do pamięci po jej zwolnieniu z powodu pozostawienia aktywnego wskaźnika oraz danych w kolejce wysyłania po zwolnieniu tabeli strumieni po wystąpieniu błędu „Stale Cookie”. Problem został rozwiązany 19 czerwca. Działanie eksploita zostało zademonstrowane w Ubuntu 26.04 z jądrem 7.0.
• CVE-2026-52923 (ekspoit) — podatność w podsystemie SysV IPC, prowadząca do dostępu do pamięci po jej zwolnieniu z powodu pozostawienia w strukturze IDR wiszącego wskaźnika do zwolnionego elementu indeksu. Problem został rozwiązany 24 lipca. Działanie eksploitów zaprezentowano w RHEL 10 z jądrem 6.12.
• CVE-2026-52912 (ekspoit) — podatność w module nf_queue podsystemu netfilter, spowodowana dostępem do pamięci po jej zwolnieniu z powodu nieprawidłowego przetwarzania wskaźnika po usunięciu mostu sieciowego przy obecności związanych z nim pakietów w kolejce NFQUEUE. Problem został rozwiązany 1 czerwca. Działanie eksploitów zaprezentowano w openSUSE z jądrem 6.4.
• CVE-2026-43501 (ekspoit) — podatność w kodzie przebudowy nagłówków IPv6 SRH (Source Routing Header), prowadząca do zapisu danych poza buforem z powodu braku weryfikacji warunków, w których nowy nagłówek może być większy od starego. Problem został rozwiązany 7 maja. Działanie eksploitów zaprezentowano na zawodach kernelCTF.
• CVE-2026-43042 (ekspoit) — podatność w mechanizmie MPLS, prowadząca do dostępu do danych poza buforem z powodu wyścigu warunków, powstającego podczas jednoczesnego odczytywania blokady i zmiany rozmiaru tabeli. Problem został rozwiązany 11 kwietnia. Działanie eksploitów zaprezentowano w Debian 13 z jądrem 6.12.
• CVE-2026-31678 (ekspoit) — podatność w podsystemie openvswitch, spowodowana dostępem do pamięci po jej zwolnieniu w stanie wyścigu przy usuwaniu wskaźnika do urządzenia sieciowego przed zakończeniem cyklu RCU (Read-Copy-Update). Problem został rozwiązany 2 kwietnia. Działanie eksploitów zaprezentowano w Fedora Linux 44 z jądrem 6.19.
• CVE-2026-31659 (ekspoit) — podatność w implementacji protokołu B.A.T.M.A.N. (Better Approach to Mobile Ad-hoc Networking), prowadząca do przepełnienia bufora z powodu przepełnienia całkowitego, wywołanego użyciem 16-bitowych wartości podczas obliczania rozmiaru bufora. Problem został rozwiązany 18 kwietnia. Działanie eksploitów zaprezentowano w Arch Linux z jądrem 6.19.

Źródło: opennet.ru