В ядрі Linux виявили серйозну вразливість, спричинену всього лише одним зайвим символом у коді

Дослідники проаналізували серйозну вразливість у Linux, яка дозволяє підвищити права доступу для недовірених користувачів до рівня root, використовуючи рідкісну помилку — всього один помилковий символ у коді ядра.

Джерело зображення: Fotis Fotopoulos / unsplash.com

Вразливість, що відстежується як CVE-2026-23111, знаходиться в nf_tables — підсистемі ядра Linux, яка забезпечує можливості фільтрації пакетів. Вона використовується для управління правилами брандмауера і замінює більш старі підсистеми, такі як iptables, ip6tables, arptables та ebtables.

Наявність одного помилково введеного знака оклику в коді, що реалізує nf_tables, призвела до виникнення вразливості типу use-after-free, яка пошкоджує пам'ять, розміщуючи шкідливий код за адресами пам'яті, що не були належним чином звільнені від попереднього вмісту. CVE-2026-23111 може використовуватися непривілейованим користувачем або процесом для підвищення прав доступу в системі до рівня root.

Вразливість працює за рахунок порушення процесу видалення вердиктів — визначень у рамках фреймворка nf_tables, які вирішують, чи відповідає пакет правилу, що вимагає виконання певної дії. У цьому процесі можуть використовуватися так звані елементи catchall, які діють як підстановочний знак, якщо пошук не знаходить збігів з жодним іншим елементом у наборі.

Коли карта вердиктів видаляється з пам'яті, елементи catchall деактивуються, а лічильник посилань у ланцюгу зменшується. При виникненні помилок видалення може бути скасовано, а лічильник — збільшено. Вразливість CVE-2026-23111 дозволяє змінити цей процес. В результаті експлойт може зменшувати значення змінної довільну кількість разів, а потім видаляти та звільняти ланцюг, коли деякі об'єкти все ще вказують на нього.

«Тут ми розглянули, як один некоректний знак оклику призвів до вразливості використання пам'яті після звільнення, яку може використовувати непривілейований користувач у Debian та Ubuntu для підвищення привілеїв до рівня root. Хоча експлойт багаторазово активує вразливість використання пам'яті після звільнення (use-after-free), що призводить до витоку базової адреси ядра, витоку адрес купи та перехоплення потоку управління, тести стабільності показали стабільність понад 99 % в неактивній системі», — повідомили в понеділок дослідники компанії Exodus Intelligence.

Виявлена вразливість була виправлена в ядрі в лютому. Компанія FuzzingLabs продемонструвала експлойт в квітні. Компанія Exodus Intelligence, яка виявила помилку, включила свій власний експлойт у пост в понеділок. Він працював на Debian та Ubuntu.

CVE-2026-23111 — одна з принаймні трьох потужних вразливостей підвищення привілеїв, виявлених у Linux за останні тижні. Ці вразливості особливо небезпечні, оскільки в поєднанні з окремим експлойтом можуть використовуватися для обходу вбудованих в ОС засобів захисту.

Хочеш дізнатися більше — читай відгуки