ช่องโหว่ระดับเคอร์เนล 18 รายการ Linux โดยใช้ช่องโหว่เพื่อเข้าถึงสิทธิ์ระดับสูงสุดในระบบ

นักวิจัยจาก Nebula Security ได้เปิดเผยรายละเอียดของช่องโหว่ระดับเคอร์เนลจำนวน 18 รายการ Linux และได้พัฒนาช่องโหว่เหล่านั้น ทำให้ผู้ใช้ภายในเครื่องที่ไม่ได้รับสิทธิ์พิเศษสามารถเข้าถึงสิทธิ์ระดับรูทในระบบได้ ช่องโหว่เหล่านี้ได้รับการแก้ไขแล้วในการอัปเดตเคอร์เนลช่วงฤดูใบไม้ผลิและฤดูร้อนต่างๆ ปัญหาที่พบ:

• CVE-2026-43502 (exploit) คือช่องโหว่ในระบบย่อยเครือข่าย RDS (Reliable Datagram Sockets) ที่เกิดจากการล้างหน้าหน่วยความจำที่ถูกตรึงไว้ไม่ถูกต้อง เมื่อการส่งข้อมูลในโหมด zero-copy ล้มเหลวก่อนที่ข้อความจะถูกจัดคิว ปัญหาดังกล่าวซึ่งมีชื่อรหัสว่า ZcopyReaper เริ่มปรากฏขึ้นในเวอร์ชันเคอร์เนล 4.17 และได้รับการแก้ไขในเคอร์เนลเมื่อเดือนพฤษภาคม การโจมตีช่องโหว่นี้สามารถทำได้บนระบบที่มีเคอร์เนลที่คอมไพล์ด้วยตัวเลือก CONFIG_INET=y, CONFIG_AIO=y, CONFIG_RDS=y|m และ CONFIG_RDS_TCP=y|m (โดยปกติจะตั้งค่าไว้เป็นค่าเริ่มต้น) ไม่จำเป็นต้องมีสิทธิ์ในการทำงานกับเนมสเปซของรหัสผู้ใช้สำหรับการโจมตี การโจมตีนี้ได้รับการสาธิตแล้วบน openSUSE ที่ใช้เคอร์เนล 6.4 มาตรฐาน
• CVE-2026-80714 (exploit) - ช่องโหว่การใช้งานหน่วยความจำหลังจากถูกปล่อย (use-after-free) ในระบบย่อย IP Virtual Server (IPVS) เกิดจากการตั้งค่าแฟล็ก IP_VS_CONN_F_ONE_PACKET ผิดพลาดระหว่างการซิงโครไนซ์การเชื่อมต่อ ซึ่งทำให้มีพอยเตอร์ค้างอยู่ในตารางแฮชหลังจากการเชื่อมต่อหมดอายุ โดยชี้ไปยังโครงสร้าง ip_vs_conn ที่ถูกปล่อยไปแล้ว ปัญหาได้รับการแก้ไขเมื่อวันที่ 19 สิงหาคม มีการสาธิตการโจมตีใน Debian 13 พร้อมคอร์ 6.12
• CVE-2026-74597 (exploit) — ช่องโหว่ในไดรเวอร์ ip6_tunnel ที่เกิดจากการใช้ค่าออฟเซ็ตสำหรับ HAO (Home Address Option) กับแพ็กเก็ตที่ถูกห่อหุ้มอย่างผิดพลาด โดยคำนวณจากแพ็กเก็ตภายนอก การส่งแพ็กเก็ตที่ถูกห่อหุ้มด้วยส่วนหัวที่สร้างขึ้นเป็นพิเศษ ทำให้สามารถเขียนข้อมูลเกินขอบเขตของบัฟเฟอร์ที่จัดสรรไว้ได้ ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 19 สิงหาคม มีการสาธิตการโจมตีใน CentOS โดยใช้เคอร์เนลเวอร์ชัน 6.12
• CVE-2026-74581 (ช่องโหว่) — ช่องโหว่ในโค้ดตารางการกำหนดเส้นทาง IPv6 ที่เกิดจาก use-after-free (หลังจากปล่อยหน่วยความจำสำหรับเส้นทางแล้ว ตัวชี้ที่ใช้งานอยู่ไปยังเส้นทางนั้นยังคงอยู่) ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 19 สิงหาคม ช่องโหว่นี้ได้รับการสาธิตใน Debian 13 พร้อมคอร์ 6.12
• CVE-2026-74480 (ช่องโหว่) – ช่องโหว่ในระบบย่อยการเชื่อมต่อเครือข่ายที่เกิดจากการใช้หน่วยความจำหลังจากถูกปล่อย (use-after-free) ในโค้ดการออกจากกลุ่มมัลติแคสต์ (หลังจากลบองค์ประกอบออกจากรายการที่เชื่อมโยงแล้ว ลูปจะไม่ถูกยุติ และในระหว่างการวนซ้ำ ตัวชี้รายการพอร์ตที่เหลืออยู่หลังจากการลบจะถูกเข้าถึง) ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 9 สิงหาคม ช่องโหว่นี้ได้รับการสาธิตใน RHEL 10 ที่ใช้เคอร์เนล 6.12
• CVE-2026-72255 (exploit) - ช่องโหว่ use-after-free ในโมดูล nf_queue ของระบบย่อย netfilter เกิดขึ้นเมื่อแพ็กเก็ตที่เกี่ยวข้องกับบริดจ์เครือข่ายยังคงอยู่ในคิว NFQUEUE หลังจากที่ถูกลบออกไปแล้ว ปัญหานี้ได้รับการแก้ไขแล้วเมื่อวันที่ 24 กรกฎาคม มีการสาธิตการโจมตีใน Ubuntu 26.04 พร้อมคอร์ 7.0
• CVE-2026-72137 (exploit) - ช่องโหว่ในโมดูล IPSec XFRM ที่ทำให้เกิดการล้างข้อมูลโครงสร้าง skb สองครั้งเมื่อส่งแพ็กเก็ต keepalive อย่างไม่ถูกต้อง ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 30 มิถุนายน มีการสาธิตการโจมตีใน Ubuntu 26.04 พร้อมคอร์ 7.0
• CVE-2026-68376 (exploit) เป็นช่องโหว่ในการใช้งานโปรโตคอล SCTP ที่นำไปสู่บัฟเฟอร์โอเวอร์โฟลว์เนื่องจากการคำนวณขนาดอาร์เรย์สำหรับการจัดเก็บตัวระบุ HMAC ไม่ถูกต้อง ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 3 สิงหาคม มีการสาธิตการโจมตีใน Ubuntu 26.04 พร้อมคอร์ 7.0
• CVE-2026-68162 (exploit) เป็นช่องโหว่ในการใช้งานโปรโตคอล SCTP ที่ทำให้เกิดการใช้หน่วยความจำหลังจากถูกปล่อย (use-after-free) เมื่อพยายามแก้ไขพารามิเตอร์ sysctl หลังจากปิดซ็อกเก็ตควบคุม ปัญหานี้ได้รับการแก้ไขแล้วเมื่อวันที่ 10 เมษายน มีการสาธิตการใช้ช่องโหว่นี้ใน Ubuntu 26.04 พร้อมคอร์ 7.0
• CVE-2026-64560 (exploit) คือช่องโหว่ใน posix-cpu-timer ที่ทำให้เกิดการใช้งานหน่วยความจำหลังจากถูกปล่อย (use-after-free) เนื่องจากสภาวะการแข่งขัน (race condition) ระหว่างการลบตัวจับเวลาและการเรียกใช้ exec() หลังจากมีการเปลี่ยนแปลงหัวหน้ากลุ่มเธรด ปัญหาดังกล่าวได้รับการแก้ไขแล้วเมื่อวันที่ 5 กรกฎาคม มีการสาธิตการโจมตีบนอุปกรณ์ Google Pixel ที่ใช้งานแพลตฟอร์มนี้ Android.
• CVE-2026-52933 (ช่องโหว่) – ช่องโหว่ในระบบย่อย io_uring ที่เมื่อตั้งค่าแฟล็ก IO_POLL_CANCEL_FLAG จะทำให้เกิดการเข้าถึงหน่วยความจำหลังจากที่หน่วยความจำนั้นถูกปล่อยไปแล้ว เนื่องจากค่าของ atomic_read() ถูกตีความว่าเป็นจำนวนลบเมื่อเทียบกับตัวนับการอ้างอิง ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 15 เมษายน ช่องโหว่นี้ได้รับการสาธิตใน Fedora Linux โดยใช้เคอร์เนลเวอร์ชัน 6.19
• CVE-2026-52924 (exploit) เป็นช่องโหว่ในการใช้งานโปรโตคอล SCTP ที่ส่งผลให้เกิดการใช้หน่วยความจำหลังจากถูกปล่อย (use-after-free) เนื่องจากตัวชี้และข้อมูลที่ยังทำงานอยู่ยังคงอยู่ในคิวส่ง (send queue) หลังจากที่ตารางการไหล (flow table) ถูกปล่อยให้ว่างเนื่องจากข้อผิดพลาด "stale cookie" ปัญหานี้ได้รับการแก้ไขแล้วเมื่อวันที่ 19 มิถุนายน มีการสาธิตการโจมตีใน Ubuntu 26.04 พร้อมคอร์ 7.0
• CVE-2026-52923 (exploit) เป็นช่องโหว่ในระบบย่อย SysV IPC ที่ทำให้เกิดการเข้าถึงหน่วยความจำหลังจากปล่อยหน่วยความจำแล้ว เนื่องจากมีตัวชี้ไปยังองค์ประกอบดัชนีที่ถูกปล่อยไปแล้วค้างอยู่ในโครงสร้าง IDR ปัญหานี้ได้รับการแก้ไขแล้วเมื่อวันที่ 24 กรกฎาคม การโจมตีนี้ได้รับการสาธิตใน RHEL 10 ที่ใช้เคอร์เนล 6.12
• CVE-2026-52912 (ช่องโหว่) – ช่องโหว่ในโมดูล nf_queue ของระบบย่อย netfilter เกิดจากข้อผิดพลาด use-after-free เนื่องจากการจัดการตัวชี้ที่ไม่ถูกต้องหลังจากลบ network bridge ในขณะที่แพ็กเก็ตที่เกี่ยวข้องกับมันยังคงอยู่ในคิว NFQUEUE ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 1 มิถุนายน ช่องโหว่นี้ได้รับการสาธิตบน openSUSE ที่ใช้เคอร์เนล 6.4
• CVE-2026-43501 (ช่องโหว่) – ช่องโหว่ในโค้ดการจัดแพ็กส่วนหัวการกำหนดเส้นทางต้นทาง (SRH) ของ IPv6 ซึ่งส่งผลให้ข้อมูลถูกเขียนเกินขอบเขตเนื่องจากขาดการตรวจสอบเงื่อนไขที่ส่วนหัวใหม่อาจมีขนาดใหญ่กว่าส่วนหัวเดิม ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 7 พฤษภาคม ช่องโหว่นี้ได้รับการสาธิตในงานแข่งขัน kernelCTF
• CVE-2026-43042 (exploit) เป็นช่องโหว่ในกลไก MPLS ที่นำไปสู่การเข้าถึงข้อมูลนอกขอบเขตเนื่องจากสภาวะการแข่งขัน (race condition) ที่เกิดขึ้นเมื่ออ่านล็อกและเปลี่ยนขนาดตารางพร้อมกัน ปัญหานี้ได้รับการแก้ไขแล้วเมื่อวันที่ 11 เมษายน มีการสาธิตการโจมตีใน Debian 13 พร้อมคอร์ 6.12
• CVE-2026-31678 (exploit) คือช่องโหว่ในระบบย่อย openvswitch ที่เกิดจากการเข้าถึงหน่วยความจำหลังจากปล่อยหน่วยความจำแล้ว เนื่องจากสภาวะการแข่งขัน (race condition) เมื่อมีการลบการอ้างอิงไปยังอุปกรณ์เครือข่ายก่อนที่วงจร RCU (Read-Copy-Update) จะเสร็จสมบูรณ์ ปัญหาได้รับการแก้ไขแล้วเมื่อวันที่ 2 เมษายน ช่องโหว่นี้ได้รับการสาธิตใน Fedora Linux 44 พร้อมเคอร์เนล 6.19
• CVE-2026-31659 (exploit) คือช่องโหว่ในการใช้งานโปรโตคอล BATMAN (Better Approach to Mobile Ad-hoc Networking) ซึ่งนำไปสู่บัฟเฟอร์โอเวอร์โฟลว์เนื่องจากค่าจำนวนเต็มเกินพิกัดที่เกิดจากการใช้ค่า 16 บิตในการคำนวณขนาดบัฟเฟอร์ ปัญหาดังกล่าวได้รับการแก้ไขแล้วเมื่อวันที่ 18 เมษายน มีการสาธิตการโจมตีใน Arch Linux Linux โดยใช้เคอร์เนลเวอร์ชัน 6.19

ที่มา: opennet.ru