Кодик кратко объясняет суть статьи
Уязвимость CVE-2026-46333 в ядре Linux, существовавшая с ноября 2016 года, позволяет локальному непривилегированному пользователю получить права root и читать защищённые файлы, включая приватные SSH-ключи. Ошибка связана с задержкой в отключении доступа к процессу после сброса им привилегий, что даёт возможность перехватить его файлы и соединения. Атака стабильна, автоматизируема и применима в многопользовательских средах, особенно опасна для виртуального хостинга. Уязвимы основные дистрибутивы: Debian, Ubuntu, Fedora, Red Hat, SUSE и другие. Хотя уровень опасности оценён как средний (5,5/10), последствия серьёзны. Патч выпущен 14 мая 2026 года, но после публикации коммита появился эксплойт, и детали уязвимости стали общедоступными. Рекомендуется срочно обновить ядро или установить `kernel.yama.ptrace_scope=2` для блокировки атак. Системы с недоверенными пользователями в период уязвимости должны сменить SSH-ключи и учётные данные.
Читайте в Telegram
|
Ошибка позволяет обычному локальному пользователю получить права администратора и прочитать закрытые файлы — в том числе приватные SSH-ключи.
Исследователи подразделения Threat Research Unit компании Qualys раскрыли уязвимость в ядре Linux под идентификатором CVE-2026-46333. Она позволяет непривилегированному локальному пользователю выполнять команды с правами root и читать защищённые файлы. Ошибка появилась в коде ядра ещё в ноябре 2016 года и оставалась незамеченной почти десять лет — всё это время она присутствовала в стабильных сборках основных дистрибутивов.
Проблема кроется в логике функции, которая решает, может ли один процесс обращаться к другому. Когда работающая с правами администратора программа завершает работу и сбрасывает свои привилегии, доступ к ней должен закрываться немедленно. Из-за ошибки это происходит на доли секунды позже — и в этот короткий промежуток обычный пользователь успевает перехватить открытые файлы и соединения завершающейся программы. По данным Qualys, приём работает стабильно и предсказуемо: его можно автоматизировать, и он превращает любую локальную сессию в путь к правам root или к чужим учётным данным.
Уязвимость затрагивает Debian, Ubuntu, Fedora, Red Hat, SUSE, AlmaLinux и CloudLinux. Формально ей присвоен лишь средний уровень опасности — 5,5 из 10, — но это отражает только то, что атака требует локального доступа, а не серьёзность последствий. Локальный доступ при этом — не редкость: его получают через взломанное веб-приложение, скомпрометированный сервер сборки или украденную учётную запись. Особенно опасна ошибка для систем виртуального хостинга, где на одной физической машине работают пользователи, не доверяющие друг другу.
Исследователи сообщили о проблеме разработчикам ядра 11 мая 2026 года, и 14 мая был выпущен патч. Однако вскоре после этого появился независимый эксплойт, собранный на основе публичного коммита, — это нарушило режим неразглашения и вынудило раскрыть детали досрочно. Сейчас рабочие эксплойты циркулируют публично. Администраторам рекомендуется немедленно обновить ядро; если это невозможно — повысить значение параметра kernel.yama.ptrace_scope до 2, что блокирует известные эксплойты. Системам, где в период действия уязвимости были недоверенные пользователи, стоит считать SSH-ключи и кешированные учётные данные скомпрометированными и заменить их.
