V jedru Linux je bila odpravljena ranljivost, ki je dobila neuradno ime ssh-keysign-pwn. Težava omogoča lokalnemu nevzpostavljenemu uporabniku branje datotek, ki bi morale biti dostopne samo rootu, vključno s zasebnimi SSH host-ključi in v določenih scenarijih tudi /etc/shadow. Ob objavi še ni bila dodeljena ločena CVE za to težavo.
Kljub imenu težava ni napaka v OpenSSH kot omrežni strežnik sshd, temveč gre za defekt v logiki jedra Linux, povezane s preverjanjem ptrace in dostopom do datotečnih descriptorjev drugega procesa preko pidfd_getfd(2). Orodje OpenSSH ssh-keysign se je izkazalo za enega izmed priročnih primerov izkoriščanja, ker dela z zasebnimi host-ključi, ki običajno pripadajo rootu in niso dostopni običajnim uporabnikom.
Jedro napake je v tem, da funkcija __ptrace_may_access() neustrezno obravnava stanje procesa, pri katerem je že izginila struktura pomnilnika mm, a so še odprti datotečni deskriptorji. Med koncem procesa jedro pokliče exit_mm() prej, kot zapre datoteke preko exit_files(). V tem kratkem intervalu se proces že zdi, da nima običajnega uporabniškega naslovnega prostora, a njegovi odprti datoteki še vedno obstajajo. Zaradi tega bi se lahko prešla kontrola stanja „dumpable“, medtem pa bi pidfd_getfd() dobil dostop do tujega datotečnega deskriptorja ob ujemajočem UID.
Praktičen scenarij temelji na setuid programih, ki najprej odprejo občutljivo datoteko s pravicami root, nato pa privilegije prekličejo in končajo, še vedno obdržijo odprti deskriptor. V objavljenem opisu je kot primer naveden ssh-keysign: odpre /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key, nato pa prekliče pravice in se lahko konča, če je EnableSSHKeysign onemogočen. Ti ključi bi morali biti dostopni le rootu, ker se uporabljajo za avtentikacijo na osnovi host.
Drugi primer je chage, ki lahko odpre /etc/shadow, nato pa prekliče učinkovite pravice in se konča. Posledično napad ne prinaša takoj shell z root pravicami, ampak omogoča dostop do vsebine datotek, ki se običajno štejejo za kritične. Izlivanje /etc/shadow predstavlja nevarnost zaradi možnosti kasnejšega offline oblikovanja gesel, medtem ko izlivanje zasebnih SSH host-ključev predstavlja tveganje zamenjave gostitelja ali izvajanja napadov na zaupanja vredne SSH scenarije.
Popravka je već prihvaćena u glavnu granu Linuxa. Commit 31e62c2ebbfd sa naslovom ptrace: malo razumnija 'get_dumpable()' logika menja ponašanje provere dumpability: jezgro sada čuva stanje user_dumpable kada mm nestane i zahteva ispravnu proveru CAP_SYS_PTRACE za zaobilaženje. Patch se odnosi na include/linux/sched.h, kernel/exit.c i kernel/ptrace.c.
Vulnerabilnost je prijavljena od strane Qualys-a i ispravio ju je Linus Torvalds 14. maja 2026. godine. Phoronix napominje da je u trenutku objavljivanja problem pogađao sve verzije Linux jezgra do trenutnog stanja mainline grane pre ispravke. Autor PoC takođe ukazuje da su ranjivi i kernel-i pre commita 31e62c2ebbfd, uključujući stabilne grane zaključno sa 14. majem.
Odvojeno je važno da za eksploataciju nije potrebno učitavati specifične module jezgra, kao u slučaju brojnih nedavnih LPE ranjivosti. Dovoljno je lokalno neprivilegovano pristupiti sistemu i imati odgovarajući privilegovani helper-proces. Razvijač Debiana Daniel Baumann primetio, da bi ovaj problem trebalo rešiti ažuriranjem jezgra i naknadnim restartovanjem na ispravno jezgro.
U objavljenom repozitorijumu sa demonstracijom navedena je provera na Raspberry Pi OS Bookworm sa jezgrom 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch i CentOS 9. Ovu listu treba smatrati kao podatke autora PoC, a ne kao sveobuhvatan spisak: budući da se greška nalazi u opštoj logici jezgra, stvarni obuhvat zavisi od verzije jezgra i postojanja backport- ispravke kod određenog distribucije.
Za administratore je osnovna preporuka jednostavna: instalirati ažurirani paket jezgra od svog distribucije i restartovati sistem. Ako postoje osnovi za sumnju da je na mašini već bio lokalni neprivilegovani pristup napadača, nakon ažuriranja treba dodatno razmotriti rotaciju SSH host-ključeva i proveru /etc/shadow/ korisničkih računa, budući da je sama ranjivost povezana upravo sa čitanjem osetljivih datoteka, a ne samo sa apstraktnim zaobilaženjem provere pristupa.
U Debiana je već počela izrada prevoda ispravke: Baumann je izvestio o cherry-pick upstream commit-a u trixie-fastforward-backports i o slanju merge request-a za Debian sid. U merge request-u je jasno naznačeno da se prenosi commit 31e62c2 za ispravku ptrace logike dumpability, koja omogućava neprivilegovanom korisniku da čita root datoteke.
Izvor: linux.org.ru
