在核心 Linux 该漏洞（已被赋予一个非官方名称）已被修复。 ssh-keysign-pwn该漏洞允许本地非特权用户读取本应只有 root 用户才能访问的文件，包括私钥 SSH 主机密钥，以及在某些情况下读取 /etc/shadow 文件。截至发稿时，该漏洞尚未分配具体的 CVE 编号。
尽管名称如此，但这并非 OpenSSH 作为网络服务器 sshd 的一个 bug，而是 缺点 在核心逻辑中 Linux这与 ptrace 检查以及通过 pidfd_getfd(2) 访问其他进程的文件描述符有关。OpenSSH 工具 ssh-keysign 被证明是一个方便的利用示例，因为它使用私钥，而私钥通常由 root 用户持有，普通用户无法访问。
错误的本质 问题在于 `__ptrace_may_access()` 函数错误地处理了进程的状态，该进程的内存结构 `mm` 已经消失，但其打开的文件描述符仍然存在。在进程终止期间，内核会在通过 `exit_files()` 关闭文件之前调用 `exit_mm()`。在这短暂的时间内，该进程似乎不再拥有正常的用户地址空间，但其打开的文件仍然存在。因此，可以绕过“可转储”状态检查，`pidfd_getfd()` 函数可以访问具有匹配 UID 的其他进程的文件描述符。
一个实际应用场景是，一些 setuid 程序会先以 root 权限打开敏感文件，然后放弃权限并退出，但句柄仍然保持打开状态。已发布的描述以 ssh-keysign 为例：它会打开 /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key 文件，然后放弃权限，如果 EnableSSHKeysign 被禁用，则可以退出。这些密钥应该只有 root 用户才能访问，因为它们用于基于主机的身份验证。
第二个例子是 chage 命令，它可以打开 /etc/shadow 文件，然后重置其有效权限并退出。因此，这种攻击不一定会立即提供 root shell，但确实可以访问通常被视为敏感文件的内容。/etc/shadow 文件泄露会带来后续离线密码猜测的风险，而 SSH 主机私钥泄露则会带来主机欺骗或针对受信任 SSH 脚本的攻击的风险。
该修复方案已被合并到主分支中。 Linux提交 31e62c2ebbfd，标题为“ptrace：略微合理的 'get_dumpable()' 逻辑改变了可转储性检查的行为：内核现在会在 mm 消失时保留 user_dumpable 状态，并且需要正确的 CAP_SYS_PTRACE 检查才能绕过。此补丁影响 include/linux/sched.h、kernel/exit.c 和 kernel/ptrace.c。”
该漏洞由 Qualys 报告，并由 Linus Torvalds 于 2026 年 5 月 14 日修复。Phoronix 指出，截至发稿时，该问题影响了所有内核版本。 Linux 截至补丁引入之前的主线内核树的当前状态，PoC 作者还指出，提交 31e62c2ebbfd 之前的内核都存在漏洞，包括 5 月 14 日的稳定分支。
尤其重要的是，此次漏洞利用无需加载特定的内核模块，这与近期一些 LPE 漏洞的情况截然不同。只需对系统拥有本地非特权访问权限，并存在一个合适的特权辅助进程即可。 Debian 丹尼尔·鲍曼 他指出，这个问题应该通过更新内核，然后重启进入已打过补丁的内核来解决。
已发布的演示代码库声称已在内核版本为 6.12.75 的 Raspberry Pi OS Bookworm 系统上进行过测试。 Debian Ubuntu Ubuntu Ubuntu 26.04，拱门和 CentOS 9. 此列表应视为作者关于 PoC 的数据，而不是详尽的列表：由于该错误存在于一般内核逻辑中，因此实际覆盖范围取决于内核版本以及特定发行版是否有向后移植修复程序。
对于管理员而言，基本建议很简单：安装适用于您发行版的最新内核包并重启系统。如果怀疑攻击者之前曾获得过对机器的本地非特权访问权限，那么在更新后，还应考虑轮换 SSH 主机密钥并检查 `/etc/shadow/accounts` 文件，因为该漏洞本身与读取敏感文件有关，而不仅仅是绕过访问检查。
В Debian 修复程序的向后移植工作已经开始：Baumann 宣布在 trixie-fastforward-backports 项目中选取上游提交，并提交了一个合并请求。 Debian sid。合并请求明确指出，提交 31e62c2 正在被重新定位，以修复 dumpability 的 ptrace 逻辑，该逻辑允许非特权用户读取 root 文件。
来源： linux.org.ru
