{"id":172668,"date":"2026-05-19T06:24:52","date_gmt":"2026-05-19T04:24:52","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly"},"modified":"2026-05-19T12:52:18","modified_gmt":"2026-05-19T10:52:18","slug":"v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","title":{"rendered":"En s\u00e5rbarhet i ssh-keysign-pwn har st\u00e4ngts i Linux, vilket g\u00f6r det m\u00f6jligt f\u00f6r lokala anv\u00e4ndare att l\u00e4sa root-filer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En Linux-k\u00e4rna har en s\u00e5rbarhet \u00e5tg\u00e4rdats, som f\u00e5tt det inofficiella namnet ssh-keysign-pwn<\/strong>. Problemet g\u00f6r det m\u00f6jligt f\u00f6r en lokal, icke-privilegierad anv\u00e4ndare att l\u00e4sa filer som endast borde vara tillg\u00e4ngliga f\u00f6r root, inklusive privata SSH-v\u00e4rdnycklar och i vissa scenarier \\\/etc\\\/shadow. Vid tidpunkten f\u00f6r publiceringen hade ett separat CVE-nummer f\u00f6r problemet \u00e4nnu inte tilldelats.<\/p>\n

<\/p>\n

Trots namnet handlar det inte om ett fel i OpenSSH som n\u00e4tverksservern sshd, utan om ett fel<\/a> i logiken hos Linux-k\u00e4rnan ang\u00e5ende ptrace-kontroller och \u00e5tkomst till filbeskrivare f\u00f6r en annan process via pidfd_getfd(2). OpenSSH-verktyget ssh-keysign visade sig vara ett av de l\u00e4mpliga exemplen f\u00f6r utnyttjande, eftersom det arbetar med privata v\u00e4rdnycklar som vanligtvis tillh\u00f6r root och \u00e4r otillg\u00e4ngliga f\u00f6r vanliga anv\u00e4ndare.<\/p>\n

<\/noindex><\/noindex> <\/p>\n

K\u00e4rnan i felet<\/a> \u00e4r att funktionen __ptrace_may_access() hanterade tillst\u00e5ndet f\u00f6r en process, vars minnesstruktur mm redan hade f\u00f6rsvunnit, men som fortfarande hade \u00f6ppna filbeskrivare. Under processen avbryter k\u00e4rnan exit_mm() tidigare \u00e4n vad den st\u00e4nger filerna genom exit_files(). Under den korta perioden ser processen ut att inte ha n\u00e5got vanligt anv\u00e4ndaraddressutrymme, men dess \u00f6ppna filer existerar fortfarande. D\u00e4rf\u00f6r kunde kontroller av \"dumpable\"-tillst\u00e5ndet kringg\u00e5s, och pidfd_getfd() kunde f\u00e5 tillg\u00e5ng till en annan processes filbeskrivare med samma UID.<\/p>\n

<\/noindex> <\/p>\n

Ett praktiskt scenario bygger p\u00e5 setuid-program som f\u00f6rst \u00f6ppnar en k\u00e4nslig fil med root-beh\u00f6righeter, sedan \u00e5terst\u00e4ller privilegier och avslutas, och fortfarande har en \u00f6ppen beskrivare. I den publicerade beskrivningen anv\u00e4nds ssh-keysign som exempel: den \u00f6ppnar \\\/etc\\\/ssh\\\/ssh_host_{ecdsa,ed25519,rsa}_key, \u00e5terst\u00e4ller d\u00e4refter r\u00e4ttigheter och kan avslutas om EnableSSHKeysign \u00e4r avst\u00e4ngd. Dessa nycklar b\u00f6r endast vara tillg\u00e4ngliga f\u00f6r root, eftersom de anv\u00e4nds f\u00f6r v\u00e4rdbaserad autentisering.<\/p>\n

Ett annat exempel \u00e4r chage, som kan \u00f6ppna \\\/etc\\\/shadow, sedan \u00e5terst\u00e4lla effektiva r\u00e4ttigheter och avslutas. D\u00e4rf\u00f6r ger attacken inte n\u00f6dv\u00e4ndigtvis omedelbart en shell med root-r\u00e4ttigheter, men m\u00f6jligg\u00f6r \u00e5tkomst till inneh\u00e5llet i filer som normalt anses vara kritiskt konfidentiella. L\u00e4cka av \\\/etc\\\/shadow \u00e4r farligt p\u00e5 grund av risken f\u00f6r efterf\u00f6ljande offline-l\u00f6senords\u00e5terst\u00e4llning, och l\u00e4ckan av privata SSH-v\u00e4rdnycklar utg\u00f6r en risk f\u00f6r v\u00e4rdomst\u00e4llning eller m\u00f6jlighet till attacker p\u00e5 betrodda SSH-scenarier.<\/p>\n

\u00c4ndringen har redan godk\u00e4nts i den prim\u00e4ra Linux-grenen. Commit 31e62c2ebbfd med rubriken ptrace: n\u00e5got mer rationell ‘get_dumpable()’ logik \u00e4ndrar beteendet f\u00f6r dumpability-kontrollen: k\u00e4rnan sparar nu tillst\u00e5ndet user_dumpable n\u00e4r mm f\u00f6rsvinner och kr\u00e4ver en korrekt kontroll av CAP_SYS_PTRACE f\u00f6r att kunna kringg\u00e5 det. Patchen ber\u00f6r include\/linux\/sched.h, kernel\/exit.c och kernel\/ptrace.c.<\/p>\n

S\u00e5rbarheten rapporterades av Qualys och \u00e5tg\u00e4rdades av Linus Torvalds den 14 maj 2026. Phoronix noterar att vid publiceringstillf\u00e4llet p\u00e5verkade problemet alla versioner av Linux-k\u00e4rnan fram till den aktuella statusen av huvudlinjetr\u00e4det innan fixen hade inf\u00f6rts. F\u00f6rfattaren av PoC p\u00e5pekar ocks\u00e5 att k\u00e4rnor f\u00f6re commit 31e62c2ebbfd \u00e4r s\u00e5rbara, inklusive stabila grenar per den 14 maj.<\/p>\n

<\/p>\n

Det \u00e4r s\u00e4rskilt viktigt att notera att utnyttjande inte kr\u00e4ver att specifika k\u00e4rnmoduler laddas, som i flera nyligen uppt\u00e4ckta LPE-s\u00e5rbarheter. Lokal icke-privilegierad \u00e5tkomst till systemet och en l\u00e4mplig privilegierad hj\u00e4lpprocess \u00e4r tillr\u00e4ckliga. Debian-utvecklaren Daniel Baumann en av volont\u00e4rerna som st\u00f6djer den ryska lokalisationen noterade<\/a>, att detta problem b\u00f6r \u00e5tg\u00e4rdas genom att uppdatera k\u00e4rnan och efterf\u00f6ljande omstart till den \u00e5tg\u00e4rdade k\u00e4rnan.<\/p>\n

<\/noindex> <\/p>\n

I den publicerade dep\u00e5n med demonstration anges en kontroll p\u00e5 Raspberry Pi OS Bookworm med k\u00e4rna 6.12.75, Debian 13, Ubuntu 22.04, Ubuntu 24.04, Ubuntu 26.04, Arch och CentOS 9. Denna lista b\u00f6r betraktas som av upphovsmannen till PoC snarare \u00e4n en utt\u00f6mmande lista: eftersom felet ligger i den allm\u00e4nna logiken av k\u00e4rnan, beror det faktiska t\u00e4ckandet p\u00e5 k\u00e4rnversionen och n\u00e4rvaron av backport-fix i den specifika distributionen.<\/p>\n

F\u00f6r administrat\u00f6rer \u00e4r den huvudsakliga rekommendationen enkel: installera den uppdaterade k\u00e4rnpaket fr\u00e5n din distribution och starta om systemet. Om det finns sk\u00e4l att misst\u00e4nka att en angripare redan haft lokal icke-privilegierad \u00e5tkomst till maskinen, b\u00f6r man efter uppdateringen dessutom \u00f6verv\u00e4ga att rotera SSH-v\u00e4rdnycklar och kontrollera \/etc\/shadow\/ anv\u00e4ndarkonton, eftersom sj\u00e4lva s\u00e5rbarheten \u00e4r kopplad till l\u00e4sning av k\u00e4nsliga filer, inte bara till abstrakt kringg\u00e5ende av \u00e5tkomstkontroller.<\/p>\n

I Debian har arbetet redan p\u00e5b\u00f6rjats med att flytta fixen: Baumann rapporterade om cherry-pick av upstream-commit i trixie-fastforward-backports och om skickandet av merge request f\u00f6r Debian sid. I merge requesten anges direkt att commit 31e62c2 f\u00f6r att \u00e5tg\u00e4rda ptrace-logiken f\u00f6r dumpability, vilket m\u00f6jligg\u00f6r l\u00e4sning av root-filer av en icke-privilegierad anv\u00e4ndare, flyttas.<\/p>\n

K\u00e4lla: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u044f\u0434\u0440\u0435 Linux \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ssh-keysign-pwn. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0447\u0438\u0442\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e root, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0435 SSH host-\u043a\u043b\u044e\u0447\u0438 \u0438, \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f\u0445, \/etc\/shadow. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 CVE \u0434\u043b\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0435\u0449\u0451 \u043d\u0435 \u0431\u044b\u043b \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d. \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435, \u0440\u0435\u0447\u044c \u0438\u0434\u0451\u0442 \u043d\u0435 \u043e\u0431 \u043e\u0448\u0438\u0431\u043a\u0435 \u0432 OpenSSH \u043a\u0430\u043a \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-172668","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47I Linux har s\u00e5rbarheten ssh-keysign-pwn st\u00e4ngts, vilket g\u00f6r att lokala anv\u00e4ndare kan l\u00e4sa root-filer | ProHoster","description":"En Linux-k\u00e4rna har en s\u00e5rbarhet som f\u00e5tt det inofficiella namnet ssh-keysign-pwn \u00e5tg\u00e4rdats.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/news\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 Linux \u0437\u0430\u043a\u0440\u044b\u0442\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c ssh-keysign-pwn, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u0447\u0438\u0442\u0430\u0442\u044c root-\u0444\u0430\u0439\u043b\u044b | ProHoster","og:description":"\u0412 \u044f\u0434\u0440\u0435 Linux \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0430\u044f \u043d\u0435\u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ssh-keysign-pwn.","og:url":"https:\/\/prohoster.info\/sv\/blog\/news\/v-linux-zakryta-uyazvimost-ssh-keysign-pwn-pozvolyayushhaya-lokalnym-polzovatelyam-chitat-root-fajly","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-19T04:24:52+00:00","article:modified_time":"2026-05-19T10:52:18+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/172668","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=172668"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/172668\/revisions"}],"predecessor-version":[{"id":172737,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/172668\/revisions\/172737"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=172668"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=172668"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=172668"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}