18 вразливостей у ядрі Linux c експлоїтами для отримання прав root у системі

Дослідники з компанії Nebula Security розкрили відомості про 18 уразливостей у ядрі Linux та підготували для них експлоїти, що дозволяють непривілейованому локальному користувачеві отримати права root у системі. Уразливості усунуті у різних весняних та літніх оновленнях ядра. Виявлені проблеми:

• CVE-2026-43502 (експлоїт) — вразливість у мережній підсистемі RDS (Reliable Datagram Sockets), викликана некоректним очищенням закріплених сторінок пам'яті при збої надсилання даних у режимі zerocopy на етапі до повідомлення в чергу. Проблема отримала кодове ім'я ZcopyReaper, проявляється починаючи з версії ядра 4.17 і усунута в ядрі травні. Експлуатація вразливості можлива на системах з ядром, зібраним з опціями CONFIG_INET=y, CONFIG_AIO=y, CONFIG_RDS=y|m та CONFIG_RDS_TCP=y|m (зазвичай виставляються за умовчанням). Прав для роботи з просторами імен ідентифікаторів користувачів для атаки не потрібні. Робота експлоїту продемонстрована в openSUSE зі штатним ядром 6.4.
• CVE-2026-80714 (експлоїт) — вразливість у підсистемі IPVS (IP Virtual Server), викликана зверненням до пам'яті після її звільнення через помилкове виставлення прапора IP_VS_CONN_F_ONE_PACKET при синхронізації з'єднання, яке після закінчення часу життя з'єднання призводить до залишення в на звільнену структуру ip_vs_conn. Проблему усунуто 19 серпня. Робота експлоїту продемонстрована в Debian 13 з ядром 6.12.
• CVE-2026-74597 (експлоїт) — вразливість у драйвері ip6_tunnel, викликана помилковим застосуванням до інкапсульованого пакета зміщення для опції HAO (Home Address Option), обчисленого на основі зовнішнього пакета. Через передачу інкапсульованого пакета зі спеціально оформленим заголовком можна досягти запису даних за межі виділеного буфера. Проблему усунуто 19 серпня. Робота експлоїту продемонстрована в CentOS з ядром 6.12.
• CVE-2026-74581 (експлоїт) — вразливість у коді для роботи з таблицями маршрутизації IPv6, викликана зверненням до пам'яті після її звільнення (після звільнення пам'яті під маршрут залишався активний покажчик цього маршруту). Проблему усунуто 19 серпня. Робота експлоїту продемонстрована в Debian 13 з ядром 6.12.
• CVE-2026-74480 (експлоїт) — вразливість у підсистемі мережевих мостів, викликана зверненням до пам'яті після її звільнення в коді виходу з multicast-групи (після видалення елемента зі зв'язкового списку цикл не переривався і в ході ітерацій проводилося звернення за вказівником на список). Проблему усунуто 9 серпня. Робота експлоїту продемонстрована в RHEL 10 з ядром 6.12.
• CVE-2026-72255 (експлоїт) — вразливість у модулі nf_queue підсистеми netfilter, викликана зверненням до пам'яті після її звільнення, що виникає у ситуації, якщо після видалення мережного мосту пов'язаний з ним пакет ще знаходився в черзі NFQUEUE. Проблему усунуто 24 липня. Робота експлоїту продемонстрована в Ubuntu 26.04 з ядром 7.0.
• CVE-2026-72137 (експлоїт) — вразливість у модулі IPSec XFRM, що призводить до подвійного звільнення структури skb при помилці надсилання keepalive-пакету. Проблему усунуто 30 червня. Робота експлоїту продемонстрована в Ubuntu 26.04 з ядром 7.0.
• CVE-2026-68376 (експлоїт) — вразливість у реалізації протоколу SCTP, що призводить до переповнення буфера через некоректний розрахунок розміру масиву для зберігання HMAC-ідентифікаторів. Проблему усунуто 3 серпня. Робота експлоїту продемонстрована в Ubuntu 26.04 з ядром 7.0.
• CVE-2026-68162 (експлоїт) - вразливість у реалізації протоколу SCTP, що призводить до звернення до пам'яті після її звільнення при спробі зміни sysctl-параметра після закриття сокета, що управляє. Проблему усунуто 10 квітня. Робота експлоїту продемонстрована в Ubuntu 26.04 з ядром 7.0.
• CVE-2026-64560 (експлоїт) — вразливість у posix-cpu-timer, що призводить до звернення до пам'яті після її звільнення через стан гонки між видаленням таймера та викликом exec() після зміни лідера групи потоків. Проблему усунуто 5 липня. Робота експлоїту продемонстрована на пристрої Google Pixel із платформою Android.
• CVE-2026-52933 (експлоїт) — вразливість у підсистемі io_uring, що веде у разі встановлення прапора IO_POLL_CANCEL_FLAG до звернення до пам'яті після її звільнення через інтерпретацію як негативного числа значення atomic_read() порівняно з лічильником с. Проблему усунуто 15 квітня. Робота експлоїту продемонстрована у Fedora Linux з ядром 6.19.
• CVE-2026-52924 (експлоїт) — вразливість у реалізації протоколу SCTP, що призводить до звернення до пам'яті після її звільнення через залишення активного покажчика та даних у черзі відправки після звільнення таблиці потоків після помилки «Stale Cookie». Проблему усунуто 19 червня. Робота експлоїту продемонстрована в Ubuntu 26.04 з ядром 7.0.
• CVE-2026-52923 (експлоїт) — вразливість у підсистемі SysV IPC, що веде до звернення до пам'яті після її звільнення через залишення в структурі IDR висячого покажчика на звільнений елемент індексу. Проблему усунуто 24 липня. Робота експлоїту продемонстрована в RHEL 10 з ядром 6.12.
• CVE-2026-52912 (експлоїт) — вразливість у модулі nf_queue підсистеми netfilter, викликана зверненням до пам'яті після її звільнення через неправильну обробку покажчика після видалення мережного мосту за наявності пов'язаних з ним пакетів у черзі NFQUEUE. Проблему усунуто 1 червня. Робота експлоїту продемонстрована в openSUSE з ядром 6.4.
• CVE-2026-43501 (експлоїт) — вразливість у коді переупаковування заголовків IPv6 Source Routing Header (SRH), що призводить до запису даних за межі буфера через відсутність перевірки умов, за яких новий заголовок може виявитися більшим за старий. Проблему усунуто 7 травня. Роботу експлоїту продемонстровано на змаганні kernelCTF.
• CVE-2026-43042 (експлоїт) — вразливість у механізмі MPLS, що призводить до звернення до даних за межами буфера через стан гонки, що виникає при одночасному читанні блокування та зміні розміру таблиці. Проблему усунуто 11 квітня. Робота експлоїту продемонстрована в Debian 13 з ядром 6.12.
• CVE-2026-31678 (експлоїт) — вразливість у підсистемі openvswitch, викликана зверненням до пам'яті після її звільнення з перегонів при видаленні посилання на мережевий пристрій до завершення циклу RCU (Read-Copy-Update). Проблему усунуто 2 квітня. Робота експлоїту продемонстрована у Fedora Linux 44 із ядром 6.19.
• CVE-2026-31659 (експлоїт) — вразливість у реалізації протоколу BATMAN (Better Approach to Mobile Ad-hoc Networking), що веде до переповнення буфера через цілечисленне переповнення, викликаного використанням 16-бітових значень при обчисленні розміру буфера. Проблему усунуто 18 квітня. Робота експлоїту продемонстрована в Arch Linux з ядром 6.19.

Джерело: opennet.ru