{"id":172668,"date":"2026-05-19T06:24:52","date_gmt":"2026-05-19T04:24:52","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly"},"modified":"2026-05-19T12:52:18","modified_gmt":"2026-05-19T10:52:18","slug":"v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","title":{"rendered":"W systemie Linux za\u0142atano luk\u0119 ssh-keysign-pwn, kt\u00f3ra umo\u017cliwia\u0142a lokalnym u\u017cytkownikom odczyt plik\u00f3w root.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W j\u0105drze Linux naprawiono luk\u0119, otrzymuj\u0105c\u0105 nieoficjaln\u0105 nazw\u0119 ssh-keysign-pwn<\/strong>. Problem umo\u017cliwia lokalnemu u\u017cytkownikowi bez uprawnie\u0144 odczyt plik\u00f3w, kt\u00f3re powinny by\u0107 dost\u0119pne tylko dla roota, w tym prywatnych kluczy hosta SSH oraz, w niekt\u00f3rych scenariuszach, \/etc\/shadow. W momencie publikacji nie przypisano jeszcze osobnego CVE dla tego problemu.<\/p>\n

<\/p>\n

Pomimo nazwy, chodzi tu nie o b\u0142\u0105d w OpenSSH jako serwerze sieciowym sshd, a o defekt<\/a> w logice j\u0105dra Linux, zwi\u0105zanym z kontrolami ptrace oraz dost\u0119pem do deskryptor\u00f3w plik\u00f3w innego procesu przez pidfd_getfd(2). Narz\u0119dzie OpenSSH ssh-keysign okaza\u0142o si\u0119 jednym z wygodnych przyk\u0142ad\u00f3w wykorzystania, poniewa\u017c dzia\u0142a z prywatnymi kluczami hosta, kt\u00f3re zwykle nale\u017c\u0105 do roota i s\u0105 niedost\u0119pne dla zwyk\u0142ych u\u017cytkownik\u00f3w.<\/p>\n

<\/noindex><\/noindex> <\/p>\n

Istota b\u0142\u0119du<\/a> polega na tym, \u017ce funkcja __ptrace_may_access() nieprawid\u0142owo obs\u0142ugiwa\u0142a stan procesu, kt\u00f3rego struktura pami\u0119ci mm ju\u017c znikn\u0119\u0142a, ale wci\u0105\u017c istnia\u0142y otwarte deskryptory plik\u00f3w. Podczas zako\u0144czenia procesu j\u0105dro wywo\u0142uje exit_mm() wcze\u015bniej, ni\u017c zamyka pliki przez exit_files(). W tym kr\u00f3tkim okresie czasowym proces wygl\u0105da ju\u017c na pozbawiony zwyk\u0142ej przestrzeni adresowej u\u017cytkownika, ale jego otwarte pliki wci\u0105\u017c istniej\u0105. Z tego powodu kontrola stanu \u201edumpable\u201d mog\u0142a by\u0107 omini\u0119ta, a pidfd_getfd() - uzyska\u0107 dost\u0119p do cudzego deskryptora pliku przy pasuj\u0105cym UID.<\/p>\n

<\/noindex> <\/p>\n

Praktyczny scenariusz oparty jest na programach setuid, kt\u00f3re najpierw otwieraj\u0105 wra\u017cliwy plik z prawami roota, nast\u0119pnie zrzucaj\u0105 uprawnienia i ko\u0144cz\u0105, wci\u0105\u017c maj\u0105c otwarty deskryptor. W opublikowanym opisie jako przyk\u0142ad podano ssh-keysign: otwiera on \/etc\/ssh\/ssh_host_{ecdsa,ed25519,rsa}_key, nast\u0119pnie zrzuca uprawnienia i mo\u017ce zako\u0144czy\u0107 si\u0119, je\u015bli EnableSSHKeysign jest wy\u0142\u0105czony. Te klucze powinny by\u0107 dost\u0119pne tylko dla roota, poniewa\u017c s\u0105 u\u017cywane do autoryzacji opartej na ho\u015bcie.<\/p>\n

Drugi przyk\u0142ad to chage, kt\u00f3ry mo\u017ce otwiera\u0107 \/etc\/shadow, nast\u0119pnie zrzuca\u0107 efektywne prawa i ko\u0144czy\u0107. W rezultacie atak niekoniecznie od razu daje pow\u0142ok\u0119 z prawami roota, ale pozwala uzyska\u0107 zawarto\u015b\u0107 plik\u00f3w, kt\u00f3ra zwykle uwa\u017cana jest za krytycznie poufn\u0105. Wycieki \/etc\/shadow s\u0105 niebezpieczne z powodu mo\u017cliwo\u015bci p\u00f3\u017aniejszego ataku metod\u0105 offline na has\u0142a, a wycieki prywatnych kluczy hosta SSH nios\u0105 ryzyko podmienienia hosta lub przeprowadzenia atak\u00f3w na zaufane scenariusze SSH.<\/p>\n

Poprawka zosta\u0142a ju\u017c przyj\u0119ta do g\u0142\u00f3wnej ga\u0142\u0119zi Linuxa. Komitet 31e62c2ebbfd z tytu\u0142em ptrace: nieco rozs\u0105dniejsza logika 'get_dumpable()' zmienia zachowanie sprawdzania dumpowalno\u015bci: j\u0105dro teraz zachowuje stan user_dumpable przy znikni\u0119ciu mm i wymaga poprawnej weryfikacji CAP_SYS_PTRACE do obej\u015bcia. \u0141atka dotyczy include\/linux\/sched.h, kernel\/exit.c oraz kernel\/ptrace.c.<\/p>\n

Vulnerability zosta\u0142a zg\u0142oszona przez Qualys i naprawiona przez Linusa Torvaldsa 14 maja 2026 roku. Phoronix zauwa\u017ca, \u017ce w momencie publikacji problem dotyczy\u0142 wszystkich wyda\u0144 j\u0105dra Linuksa a\u017c do aktualnego stanu ga\u0142\u0119zi g\u0142\u00f3wnej przed wprowadzeniem poprawki. Autor PoC wskazuje r\u00f3wnie\u017c, \u017ce podatne s\u0105 j\u0105dra przed commitem 31e62c2ebbfd, w tym stabilne ga\u0142\u0119zie na dzie\u0144 14 maja.<\/p>\n

<\/p>\n

Szczeg\u00f3lnie istotne jest to, \u017ce do wykorzystania nie jest wymagane \u0142adowanie specyficznych modu\u0142\u00f3w j\u0105dra, jak w przypadku wielu ostatnich podatno\u015bci LPE. Wystarczy lokalny, nieuprzywilejowany dost\u0119p do systemu oraz odpowiedni uprzywilejowany proces pomocniczy. Programista Debian, Daniel Bauman, zauwa\u017cy\u0142<\/a>, \u017ce problem ten powinien by\u0107 rozwi\u0105zany poprzez aktualizacj\u0119 j\u0105dra i p\u00f3\u017aniejsze ponowne uruchomienie do poprawionego j\u0105dra.<\/p>\n

<\/noindex> <\/p>\n

W opublikowanym repozytorium z demonstracj\u0105 zg\u0142oszono weryfikacj\u0119 w Raspberry Pi OS Bookworm z j\u0105drem 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch i CentOS 9. Do tej listy nale\u017cy podchodzi\u0107 jako do danych autora PoC, a nie jako do wyczerpuj\u0105cej listy: poniewa\u017c b\u0142\u0105d znajduje si\u0119 w og\u00f3lnej logice j\u0105dra, faktyczny zasi\u0119g zale\u017cy od wersji j\u0105dra i dost\u0119pno\u015bci backportowej poprawki w danym dystrybucji.<\/p>\n

Dla administrator\u00f3w g\u0142\u00f3wna rekomendacja jest prosta: zainstalowa\u0107 zaktualizowany pakiet j\u0105dra od swojego dystrybucji i ponownie uruchomi\u0107 system. Je\u015bli istniej\u0105 podstawy, by s\u0105dzi\u0107, \u017ce na maszynie by\u0142 ju\u017c lokalny, nieuprzywilejowany dost\u0119p intruza, po aktualizacji warto dodatkowo rozwa\u017cy\u0107 rotacj\u0119 kluczy hosta SSH oraz sprawdzenie \/etc\/shadow\/kont, poniewa\u017c sama podatno\u015b\u0107 jest zwi\u0105zana z odczytem wra\u017cliwych plik\u00f3w, a nie tylko z abstrakcyjnym obej\u015bciem weryfikacji dost\u0119pu.<\/p>\n

W Debianie ju\u017c rozpocz\u0119to prace nad przeniesieniem poprawki: Bauman poinformowa\u0142 o cherry-pick upstream-commicie w trixie-fastforward-backports i wys\u0142aniu pro\u015bby o scalanie dla Debian sid. W pro\u015bbie o scalanie wyra\u017anie zaznaczono, \u017ce przenoszony jest commit 31e62c2 w celu poprawy logiki ptrace dumpability, umo\u017cliwiaj\u0105cej odczyt root-plik\u00f3w przez nieuprzywilejowanego u\u017cytkownika.<\/p>\n

\u0179r\u00f3d\u0142o: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u044f\u0434\u0440\u0435 Linux \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ssh-keysign-pwn. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0447\u0438\u0442\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e root, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0435 SSH host-\u043a\u043b\u044e\u0447\u0438 \u0438, \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f\u0445, \/etc\/shadow. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 CVE \u0434\u043b\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0435\u0449\u0451 \u043d\u0435 \u0431\u044b\u043b \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d. \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435, \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043d\u0435 \u043e\u0431 \u043e\u0448\u0438\u0431\u043a\u0435 \u0432 OpenSSH \u043a\u0430\u043a \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-172668","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47W systemie Linux usuni\u0119to luk\u0119 ssh-keysign-pwn, kt\u00f3ra umo\u017cliwia\u0142a lokalnym u\u017cytkownikom odczyt plik\u00f3w root | ProHoster","description":"W j\u0105drze Linux naprawiono luk\u0119, kt\u00f3ra otrzyma\u0142a nieoficjaln\u0105 nazw\u0119 ssh-keysign-pwn.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 Linux \u0437\u0430\u043a\u0440\u044b\u0442\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c ssh-keysign-pwn, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0447\u0438\u0442\u0430\u0442\u044c root-\u0444\u0430\u0439\u043b\u044b | ProHoster","og:description":"\u0412 \u044f\u0434\u0440\u0435 Linux \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ssh-keysign-pwn.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-19T04:24:52+00:00","article:modified_time":"2026-05-19T10:52:18+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/172668","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=172668"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/172668\/revisions"}],"predecessor-version":[{"id":172737,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/172668\/revisions\/172737"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=172668"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=172668"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=172668"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}