Bola odhalená zraniteľnosť (CVE-2026-43499) v jadre Linux, označená kódovým názvom GhostLock, ktorá umožňuje neprivilegovanému lokálnemu používateľovi získať práva root v systéme a opustiť izolované kontejnery. Pri kombinácii s inými zraniteľnosťami v prehliadačoch môže byť zistený problém použitý na vzdialené vykonávanie kódu s právami root pri otvorení špeciálne upravenej webovej stránky. Problém sa prejavuje od jadra Linux 2.6.39 (rok 2011).
Tvrdí sa, že zraniteľnosť môže byť zneužitá vo všetkých distribúciách vydaných za posledných 15 rokov. Existuje funkčný exploit, ktorého tvorcovia získali od Google odmenu vo výške 92 337 dolárov za úspešné zvýšenie privilégií v prostredí s jadrom KernelCTF (Capture the Flag), ktoré obsahuje dodatočné záplaty na blokovanie typických metód fungovania exploitov. Úspešnosť exploitu sa hodnotí na 97 %. Zraniteľnosť bola zistená pomocou AI nástroja VEGA.
Patch s opravou bol prijatý do kódovej základne jadra 21. apríla a bol súčasťou vydaní jadra 7.1.0, 6.18.36, 6.12.95, 6.6.144 a 6.1.177. Stav odstránenia zraniteľností v distribúciách je možné zhodnotiť na týchto stránkach: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. Obejdenie blokovania problému neexistuje.
Zraniteľnosť sa nachádza v implementácii blokád futex a je spôsobená prístupom do pamäte po jej uvoľnení, k čomu dochádza pri práci mechanizmu dedičstva priorít, ktorý zabraňuje inverzii priorít (blokovanie úlohy s vysokou prioritou z dôvodu čakania na uvoľnenie zdroja, ktorý je obsadený úlohou s nízkou prioritou). V situácii, keď sa nastavenie blokády skončí chybou, jadro vráti stav a vyvolá funkciu čistenia. Za určitých okolností je funkcia čistenia vyvolaná v nesprávnom čase a uvoľní štruktúru údajov inej úlohy, po čom zostane visiac pointer (dangling pointer), odkazujúci na už uvoľnenú pamäť.
Exploatácia zraniteľnosti spočíva v vytvorení podmienok pre vznik visiacich ukazovateľov pomocou systémových volaní dostupných používateľovi na prácu s vláknami, implementovať primitiv na zápis pomocou visiacich ukazovateľov do ľubovoľnej oblasti pamäte jadra a aplikovať tento primitiv na substitúciu prechodu v tabuľke funkcií jadra na zachytenie riadenia.
V navrhnutom exploit-e sa vykonáva prepísanie ukazovateľa v tabuľke funkcií inet6_protos[IPPROTO_UDP], po čom sa na loopback rozhraní prostredníctvom IPv6 posiela UDP paket, pri spracovaní ktorého sa vykonáva volanie spracovateľa, na ktorý bol ukazovateľ v predchádzajúcom kroku zmenený. Na získanie root prístupu získaný kód exploit-u zapisuje do /proc/sys/kernel/core_pattern svoj spracovateľ, ktorý sa vyvoláva s právami root pri zlyhaní procesov.
Okrem prejednanej otázky v jadre Linuxu bolo identifikovaných niekoľko ďalších nebezpečných zraniteľností:
- Januscape (CVE-2026-53359) — prístup k pamäti po jej uvoľnení (use-after-free) v komponentoch hypervízora KVM, vykonávaných na strane virtuálnej mašiny na emuláciu bloku riadenia pamäte (MMU) a prekladu adries medzi hostiteľom a hosťovacím systémom. Zraniteľnosť sa prejavuje na systémoch s procesormi Intel a AMD a umožňuje získať prístup s právami root do hostiteľského prostredia pri existencii prístupu s právami root v hosťovskom systéme.
Pre načítanie je k dispozícii prototyp exploit-u, ktorý poškodzuje obsah štruktúry údajov na strane hostiteľského systému, používaný pri preklade adries. Publikovaný exploit vedie k havárii hostiteľského systému, ale podľa vyjadrenia výskumníka, ktorý problém objavil, tiež vytvoril exploit na vykonanie kódu na strane hostiteľského prostredia s právmi root, avšak zatiaľ ho nezverejňuje, aby dal čas na nainštalovanie aktualizácií.
Problém je spôsobený chybou, ktorá bola spáchaná pred 16 rokmi, a bola odstránená v aktualizáciách 7.1.3, 6.18.38, 6.12.95, 6.6.144 a 6.1.177. Stav odstránenia zraniteľností v distribúciách je možné zhodnotiť na týchto stránkach: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. Za objavenie zraniteľnosti dostal výskumník od Google odmenu 250 tisíc dolárov v rámci iniciatívy kvmCTF.
Pre opustenie hosťovského systému na serveroch Na procesoroch ARM64 bolo iným výskumníkom odhalené ďalšie zraniteľnosť ITScape (CVE-2026-46316), spôsobené podmienkou pretekania v kóde emulácie vGIC-ITS (Služba prekladania prerušení) v KVM. Pre tento problém bol taktiež zverejnený prototyp exploit.
- Bad Epoll (CVE-2026-46242) — podmienka pretekania, ktorá vedie k prístupu do pamäte po jej uvoľnení, v subsystéme jadra epoll. Zraniteľnosť umožňuje lokálnemu nepriviligovanému používateľovi vykonať kód s právami root. Problém je pozoruhodný tým, že umožňuje útočiť nielen na klasické distribúcie Linuxu, ale aj na firmvéry založené na platforme Android, a navyše nie je blokovaný sandboxovou izoláciou v Chrome. Funkčný exploit bol predvedený na súťaži kernelCTF (Google zaplatil autorovi $71337). Spoľahlivosť fungovania exploit je hodnotená na 99%.
Problém sa prejavuje od jadra Linux 6.4 (rok 2023). O probléme bolo informované vývojárov jadra 17. februára, ale opravu sa podarilo vyvinúť až po niekoľkých neúspešných pokusoch 24. apríla. Problém bol odstránený v jadrách 6.18.24, 6.12.83, 6.6.136. Stav odstránenia zraniteľností v distribúciách je možné posúdiť na týchto stránkach: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
- CVE-2026-46215 — prístup do pamäte po jej uvoľnení v implementácii ioctl DRM_IOCTL_GEM_CHANGE_HANDLE v subsystéme DRM (Direct Rendering Manager). Lokálny používateľ, ktorý má prístup k zariadeniam /dev/dri/renderD* (služba systemd-logind poskytuje prístup všetkým používateľom pri spustení grafického prostredia vo všetkých hlavných distribúciách), môže získať práva root v systéme. Existuje exploit. Problém sa prejavuje od jadra 6.18 a bol odstránený v aktualizáciách 7.0.9 a 6.18.32. Stav odstránenia zraniteľností v distribúciách je možné posúdiť na týchto stránkach: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.
Zdroj: opennet.ru
