V jadre Linux bola opravená zraniteľnosť, ktorá získala neoficiálny názov ssh-keysign-pwn. Problém umožňuje lokálnemu neprivilegovanému používateľovi čítať súbory, ktoré by mali byť prístupné len root, vrátane súkromných SSH hostiteľských kľúčov a v niektorých scenároch aj \/etc\/shadow. V čase publikácie nebol pre problém ešte pridelený samostatný CVE.
Napriek názvu sa nejedná o chybu v OpenSSH ako sieťovom serveri sshd, ale o defekt v logike jadra Linux, ktorý súvisí s kontrolami ptrace a prístupom k súborovým deskriptorom iného procesu cez pidfd_getfd(2). Nástroj OpenSSH ssh-keysign sa stal jedným z pohodlných príkladov zneužitia, pretože pracuje so súkromnými hostiteľskými kľúčmi, ktoré zvyčajne patria root a nie sú dostupné bežným používateľom.
Podstata chyby spočíva v tom, že funkcia __ptrace_may_access() nesprávne spracovávala stav procesu, ktorého štruktúra pamäte mm už zmizla, ale otvorené súborové deskriptory ešte existovali. Počas ukončenia procesu jadro volá exit_mm() skôr, ako zatvorí súbory cez exit_files(). V tomto krátkom časovom úseku sa proces už javí ako bez bežného užívateľského adresného priestoru, ale jeho otvorené súbory ešte existujú. Z tohto dôvodu mohla byť kontrola stavu „dumpable“ obchádzaná a pidfd_getfd() – získať prístup k cudzímu súborovému deskriptoru pri zhodnom UID.
Praktický scenár sa zakladá na programoch setuid, ktoré najskôr otvoria citlivý súbor s právami root, potom zrušia privilégiá a skončia, pričom stále majú otvorený deskriptor. V publikovanom opise ako príklad je uvedený ssh-keysign: otvára \/etc\/ssh\/ssh_host_{ecdsa,ed25519,rsa}_key, po čom zruší práva a môže sa ukončiť, ak je EnableSSHKeysign vypnuté. Tieto kľúče by mali byť dostupné iba root, pretože sa používajú na hostitelskú autentifikáciu.
Druhý príklad – chage, ktorý môže otvoriť \/etc\/shadow, potom zrušiť efektívne práva a skončiť. V dôsledku toho útok nemusí okamžite poskytnúť shell s root právami, ale umožňuje získať obsah súborov, ktorý sa zvyčajne považuje za kriticky uzavretý. Únik \/etc\/shadow je nebezpečný možnosťou následného offline cracking hesiel, a únik súkromných SSH hostiteľských kľúčov predstavuje riziko podvrhnutia hostiteľa alebo vykonávania útokov na dôveryhodné SSH scenáre.
Oprava už bola prijatá do hlavnej vetvy Linuxu. Commit 31e62c2ebbfd s názvom ptrace: Slightly saner ‘get_dumpable()’ logic mení správanie kontroly dumpability: jadro teraz uchováva stav user_dumpable pri zmiznutí mm a vyžaduje správne overenie CAP_SYS_PTRACE na obídenie. Patch zasahuje include/linux/sched.h, kernel/exit.c a kernel/ptrace.c.
Zraniteľnosť bola nahlásená spoločnosťou Qualys a opravil ju Linus Torvalds 14. mája 2026. Phoronix uvádza, že v čase publikovania problém zasahoval všetky verzie jadra Linux až do aktuálneho stavu mainline vetvy pred vykonaním opravy. Autor PoC tiež uvádza, že zraniteľné sú jadra pred commitom 31e62c2ebbfd, vrátane stabilných vetiev k 14. máju.
Samostatne je dôležité, že na vykonanie zraniteľnosti nie je potrebné načítavať špecifické moduly jadra, ako v niekoľkých nedávnych LPE zraniteľnostiach. Stačí lokálny nepomocný prístup k systému a prítomnosť vhodného privilegovaného pomocného procesu. Vývojár Debianu, Daniel Baumann. poznamenal, že tento problém by mal byť odstránený aktualizáciou jadra a následným reštartom do opraveného jadra.
Vo zverejnenom repozitári s demonštráciou je uvedené overenie na Raspberry Pi OS Bookworm s jadrom 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch a CentOS 9. K tomuto zoznamu by sa malo pristupovať ako k údajom autora PoC, a nie ako k vyčerpávajúcemu zoznamu: keďže chyba spočíva v spoločnej logike jadra, skutočné pokrytie závisí od verzie jadra a prítomnosti backport opravy na konkrétnej distribúcii.
Pre správcov je hlavná odporúčanie jednoduchá: nainštalovať aktualizovaný balík jadra od svojej distribúcie a reštartovať systém. Ak sú dôvody domnievať sa, že na stroji už mal lokálny nepomocný prístup útočník, po aktualizácii je vhodné zvážiť aj rotáciu SSH host kľúčov a kontrolu /etc/shadow/účtov, keďže samotná zraniteľnosť sa týka práve čítania citlivých súborov, a nie iba abstraktného obídenia kontroly prístupu.
V Debiane sa už začala práca na prenose opravy: Baumann hlásil o cherry-pick upstream commit do trixie-fastforward-backports a o zaslaní merge request pre Debian sid. V merge request je jasne uvedené, že sa prenáša commit 31e62c2 pre opravu ptrace logiky dumpability, umožňujúcej čítať root súbory nepomocnému používateľovi.
Zdroj: linux.org.ru
