En sårbarhet i ssh-keysign-pwn har stängts i Linux, vilket gör det möjligt för lokala användare att läsa root-filer

En Linux-kärna har en sårbarhet åtgärdats, som fått det inofficiella namnet ssh-keysign-pwn. Problemet gör det möjligt för en lokal, icke-privilegierad användare att läsa filer som endast borde vara tillgängliga för root, inklusive privata SSH-värdnycklar och i vissa scenarier \/etc\/shadow. Vid tidpunkten för publiceringen hade ett separat CVE-nummer för problemet ännu inte tilldelats.

Trots namnet handlar det inte om ett fel i OpenSSH som nätverksservern sshd, utan om ett fel i logiken hos Linux-kärnan angående ptrace-kontroller och åtkomst till filbeskrivare för en annan process via pidfd_getfd(2). OpenSSH-verktyget ssh-keysign visade sig vara ett av de lämpliga exemplen för utnyttjande, eftersom det arbetar med privata värdnycklar som vanligtvis tillhör root och är otillgängliga för vanliga användare.

Kärnan i felet är att funktionen __ptrace_may_access() hanterade tillståndet för en process, vars minnesstruktur mm redan hade försvunnit, men som fortfarande hade öppna filbeskrivare. Under processen avbryter kärnan exit_mm() tidigare än vad den stänger filerna genom exit_files(). Under den korta perioden ser processen ut att inte ha något vanligt användaraddressutrymme, men dess öppna filer existerar fortfarande. Därför kunde kontroller av "dumpable"-tillståndet kringgås, och pidfd_getfd() kunde få tillgång till en annan processes filbeskrivare med samma UID.

Ett praktiskt scenario bygger på setuid-program som först öppnar en känslig fil med root-behörigheter, sedan återställer privilegier och avslutas, och fortfarande har en öppen beskrivare. I den publicerade beskrivningen används ssh-keysign som exempel: den öppnar \/etc\/ssh\/ssh_host_{ecdsa,ed25519,rsa}_key, återställer därefter rättigheter och kan avslutas om EnableSSHKeysign är avstängd. Dessa nycklar bör endast vara tillgängliga för root, eftersom de används för värdbaserad autentisering.

Ett annat exempel är chage, som kan öppna \/etc\/shadow, sedan återställa effektiva rättigheter och avslutas. Därför ger attacken inte nödvändigtvis omedelbart en shell med root-rättigheter, men möjliggör åtkomst till innehållet i filer som normalt anses vara kritiskt konfidentiella. Läcka av \/etc\/shadow är farligt på grund av risken för efterföljande offline-lösenordsåterställning, och läckan av privata SSH-värdnycklar utgör en risk för värdomställning eller möjlighet till attacker på betrodda SSH-scenarier.

Ändringen har redan accepterats i huvudgrenen av Linux. Commit 31e62c2ebbfd med rubriken ptrace: något mer rationell 'get_dumpable()'-logik ändrar beteendet för dumpabilitetskontrollen: kärnan sparar nu tillståndet user_dumpable vid borttagning av mm och kräver en korrekt kontroll av CAP_SYS_PTRACE för att kringgå detta. Patchen påverkar include/linux/sched.h, kernel/exit.c och kernel/ptrace.c.

Sårbarheten rapporterades av Qualys och åtgärdades av Linus Torvalds den 14 maj 2026. Phoronix noterar att vid publiceringstillfället påverkade problemet alla versioner av Linux-kärnan fram till den aktuella statusen av huvudlinjeträdet innan fixen hade införts. Författaren av PoC påpekar också att kärnor före commit 31e62c2ebbfd är sårbara, inklusive stabila grenar per den 14 maj.

Det är särskilt viktigt att notera att utnyttjande inte kräver att specifika kärnmoduler laddas, som i flera nyligen upptäckta LPE-sårbarheter. Lokal icke-privilegierad åtkomst till systemet och en lämplig privilegierad hjälpprocess är tillräckliga. Debian-utvecklaren Daniel Baumann en av volontärerna som stödjer den ryska lokalisationen noterade, att detta problem bör åtgärdas genom att uppdatera kärnan och efterföljande omstart till den åtgärdade kärnan.

I den publicerade depån med demonstration anges en kontroll på Raspberry Pi OS Bookworm med kärna 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch och CentOS 9. Denna lista bör betraktas som av upphovsmannen till PoC snarare än en uttömmande lista: eftersom felet ligger i den allmänna logiken av kärnan, beror det faktiska täckandet på kärnversionen och närvaron av backport-fix i den specifika distributionen.

För administratörer är den huvudsakliga rekommendationen enkel: installera den uppdaterade kärnpaket från din distribution och starta om systemet. Om det finns skäl att misstänka att en angripare redan haft lokal icke-privilegierad åtkomst till maskinen, bör man efter uppdateringen dessutom överväga att rotera SSH-värdnycklar och kontrollera /etc/shadow/ användarkonton, eftersom själva sårbarheten är kopplad till läsning av känsliga filer, inte bara till abstrakt kringgående av åtkomstkontroller.

I Debian har arbetet redan påbörjats med att flytta fixen: Baumann rapporterade om cherry-pick av upstream-commit i trixie-fastforward-backports och om skickandet av merge request för Debian sid. I merge requesten anges direkt att commit 31e62c2 för att åtgärda ptrace-logiken för dumpability, vilket möjliggör läsning av root-filer av en icke-privilegierad användare, flyttas.

Källa: linux.org.ru