GhostLock, BadEpoll och Januscape — sårbarheter i Linux-kärnan som gör det möjligt att få root-rättigheter och kringgå KVM-isolering

Information has been revealed about a vulnerability (CVE-2026-43499) in the Linux kernel, codenamed GhostLock, which allows an unprivileged local user to gain root privileges in the system, as well as escape from isolated containers. When used in conjunction with other vulnerabilities in browsers, the identified issue can be exploited for remote code execution with root privileges when opening a specially crafted webpage. The problem has been present since the Linux kernel version 2.6.39 (2011).

It is claimed that the vulnerability can be exploited in all distributions released over the past 15 years. A working exploit is available, and its creators have received a reward of $92,337 from Google for successfully elevating privileges in a KernelCTF (Capture the Flag) environment that includes additional patches to block typical exploit methods. The success rate of the exploit is estimated at 97%. The vulnerability was discovered using the AI tool VEGA.

A patch with the fix was accepted into the kernel codebase on April 21 and has been included in the kernel releases 7.1.0, 6.18.36, 6.12.95, 6.6.144, and 6.1.177. The status of vulnerability remediation in distributions can be assessed on these pages: Debian, Ubuntu, SUSE/openSUSE, RHEL, AlmaLinux, Gentoo, Arch, Fedora. There are no workarounds available to block the issue.

The vulnerability exists in the implementation of futex locks and is caused by accessing memory after it has been freed, which occurs during the priority inheritance mechanism that prevents priority inversion (the locking of a high-priority task due to waiting for a resource held by a low-priority task). In situations where the lock acquisition fails, the kernel rolls back the state and calls the cleanup function. Under certain circumstances, the cleanup function is called at the wrong time and frees the data structure of another task, after which a dangling pointer remains, pointing to already freed memory.

Utnyttjande av en sårbarhet handlar om att skapa förhållanden för att en hängande pekare ska uppstå, genom att endast använda de systemanrop som en användare har tillgång till för att arbeta med trådar, implementera en primitiv för att skriva med hjälp av en hängande pekare i ett godtyckligt minnesområde av kärnan och tillämpa denna primitiv för att ersätta en övergång i kärnans funktions-tabell för att fånga kontrollflödet.

I det föreslagna exploit skrivs pekaren i funktions-tabellen inet6_protos[IPPROTO_UDP] om, varefter en UDP-paket skickas till loopback-gränssnittet via IPv6, där en handler anropas, vars pekare ersattes i det tidigare steget. För att få root-åtkomst skriver den kod som fått kontroll ett handler till /proc/sys/kernel/core_pattern som anropas med root-rättigheter vid krasch av processer.

Förutom det berörda problemet har några ytterligare farliga sårbarheter upptäckts i Linux-kärnan:

• Januscape (CVE-2026-53359) - åtkomst till minne efter att det har frigjorts (use-after-free) i komponenterna för hypervisorn KVM, som körs på den virtuella maskinens sida för att emulera minneshanteringsenheten (MMU) och översätta adresser mellan värdmaskinen och gästsystemet. Sårbarheten uppträder på system med Intel- och AMD-processorer och gör det möjligt att få root-åtkomst till värdmiljön om man har root-åtkomst till gästsystemet.

  Ett prototyp av exploiten som skadar innehållet i datastrukturen på värdsystemets sida, som används vid adressöversättning, finns tillgängligt för nedladdning. Den publicerade exploiten leder till kraschen av värdsystemet, men enligt forskaren som upptäckte problemet har han också skapat en exploit för att köra kod på värdmiljön med root-rättigheter, men publicerar den ännu inte för att ge tid för installation av uppdateringar.

  Problemet orsakades av ett fel som begicks för 16 år sedan och åtgärdades i uppdateringarna 7.1.3, 6.18.38, 6.12.95, 6.6.144 och 6.1.177. Statusen för sårbarheternas åtgärdande i distributionerna kan bedömas på följande sidor: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. För att upptäckten av sårbarheten fick forskaren en belöning på 250 000 dollar från Google inom ramen för initiativet kvmCTF.

  För att lämna gästsystemet på servrar En processorer ARM64 har samma forskare upptäckt en annan sårbarhet ITScape (CVE-2026-46316), orsakad av en tävlingsstatus i emuleringskoden vGIC-ITS (Interrupt Translation Service) i KVM. En prototyp av exploiten har också publicerats för detta problem.

• Bad Epoll (CVE-2026-46242) — en tävlingsstatus som leder till minnesåtkomst efter att det har frigjorts i kärnans epoll-subsystem. Sårbarheten möjliggör för en lokal, icke-privilegerad användare att köra kod med root-rättigheter. Problemet är anmärkningsvärt eftersom det möjliggör attacker mot både klassiska Linux-distributioner och firmware baserade på Android-plattformen, och blockeras inte heller av sandbox-isolering i Chrome. En fungerande exploit demonstrerades vid tävlingen kernelCTF (Google betalade $71337 till författaren). Stabiliteten av exploiten bedömdes till 99%.

  Problemet visar sig börja med Linux-kärnan 6.4 (2023). Utvecklarna av kärnan informerades om problemet den 17 februari, men en lösning kunde endast utvecklas efter flera misslyckade försök den 24 april. Problemet har åtgärdats i kärnorna 6.18.24, 6.12.83, 6.6.136. Status för åtgärdandet av sårbarheterna i distributionerna kan bedömas på dessa sidor: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

• CVE-2026-46215 — minnesåtkomst efter att det har frigjorts i implementeringen av ioctl DRM_IOCTL_GEM_CHANGE_HANDLE i DRM (Direct Rendering Manager) subsystemet. En lokal användare med åtkomst till enheter /dev/dri/renderD* (systemd-logind tjänsten ger åtkomst till alla användare när de startar en grafisk session i alla större distributioner) kan få root-befogenheter i systemet. Det finns en exploit. Problemet visar sig börja med kärnan 6.18 och har åtgärdats i uppdateringarna 7.0.9 och 6.18.32. Status för åtgärdandet av sårbarheterna i distributionerna kan bedömas på dessa sidor: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Källa: opennet.ru