ssh-keysign-pwn: al patrulea val de vulnerabilități critice în kernelul Linux dintr-o singură lună

 Nu este o escaladare la root — dar este, în unele privințe, mai periculoasă: un utilizator neprivilegiat poate citi în tăcere fișiere aparținând contului root, inclusiv chei private SSH, credențiale și secrete de configurare. Raportată de Qualys, patch-ul există deja în mainline.

15 mai 2026·Securitate · Kernel Linux·~5 min citire

---

ssh-keysign-pwnDivulgare neautorizată de informații

Descoperit deQualys Security Research

Versiuni afectateToate versiunile kernel Linux, inclusiv Git mainline

Tip atacLocal — citire fișiere root de la utilizator neprivilegiat

PatchDisponibil în mainline kernel · Distribuțiile în curs

În mai puțin de o lună, comunitatea Linux a gestionat Copy Fail, Dirty Frag, Fragnesia și acum ssh-keysign-pwn — patru vulnerabilități critice, raportate independent, care exploatează diferite suprafețe ale kernelului. Al patrulea nu escaladează direct la root, dar permite ceva la fel de problematic în scenariile reale: citirea silențioasă a fișierelor aparținând contului root de la orice cont de utilizator fără privilegii.

Ce face ssh-keysign-pwn diferit față de predecesorii săi

Copy Fail / Dirty Frag / Fragnesia

Escaladare locală de privilegii — utilizatorul neprivilegiat obține un shell root. Atacul este activ, ruido și detectabil în jurnale dacă monitorizarea este activă.

ssh-keysign-pwn

Nu obține root, dar citește în tăcere fișiere aparținând root — chei private, credențiale, secrete de configurare. Pasiv, silențios, fără acțiuni zgomotoase în jurnal. Greu de detectat.

Distincția contează în practică. O escaladare la root declanșează alerte, lasă urme în jurnale și este detectată de soluțiile de monitorizare mai ușor. Lectura silențioasă a unui fișier de configurare cu credențiale cloud sau a unei chei SSH private poate trece neobservată mult timp și oferi unui atacator suficiente informații pentru a pregăti un atac mult mai devastator fără să fi produs niciun zgomot vizibil pe sistemul țintă.

Mecanismul tehnic: ptrace și inspecția proceselor

Conform analizelor disponibile, ssh-keysign-pwn exploatează un comportament specific al interfeței ptrace — sistemul de apeluri utilizat tradițional pentru depanarea proceselor și monitorizarea execuției lor. Vulnerabilitatea rezidă într-o combinație de operații care permite ocolirea verificărilor obișnuite de permisiuni și accesarea conținutului unor fișiere care ar trebui să fie complet inaccesibile contului atacatorului.

Utilizatorul neprivilegiat inițiază secvența de operații ptrace

Prin combinarea specifică a apelurilor de sistem disponibile pentru orice utilizator local, atacatorul inițiază un scenariu de inspecție de proces care normalmente ar fi blocat de verificările de permisiuni.

Logica internă a kernelului omite verificările de acces

Un bug logic în ruta internă de cod permite ca verificările de permisiuni să fie ocolite pentru anumite operații de citire. Kernelul procesează cererea fără a valida corect că fișierul țintă este accesibil utilizatorului curent.

Conținut fișiere root exfiltrat silențios

Atacatorul obține conținutul fișierelor — potențial chei SSH, token-uri API, credențiale din fișiere de configurare sau orice alt fișier deținut de root accesibil prin această rută.

# Exemplu conceptual — utilizator neprivilegiat $ ./ssh-keysign-pwn /root/.ssh/id_ed25519 -----BEGIN OPENSSH PRIVATE KEY----- b3BlbnNzaC1rZXktdjEAAAAA... [cheie privată root] -----END OPENSSH PRIVATE KEY----- $ # fără erori, fără alerte, fără intrări suspecte în jurnal

Ce fișiere pot fi expuse

• 🔑Chei private SSH ale contului rootDacă sunt exfiltrate, permit accesul SSH direct la alte servere unde această cheie este autorizată — potențial întreg infrastructura.
• 🗝️Fișiere de configurare cu credențialeFișiere precum /root/.aws/credentials, /root/.kube/config, token-uri API și parole de baze de date stocate în fișiere de configurare accesibile doar root.
• 📄Secretele de sistem și certificateCertificate TLS private, fișiere de configurare ale serviciilor cu date sensibile, chei de criptare stocate pe disc.
• 🗃️Fișiere shadow și date de autentificareÎn scenarii favorabile atacatorului, hash-uri de parole sau alte date de autentificare stocate cu permisiuni root-only.

„Vulnerabilitățile care fură informații în tăcere sunt adesea mai dificil de detectat și de evaluat ca impact decât cele care obțin root — pentru că nu lasă urme evidente și pot fi exploatate repetat înainte ca cineva să observe."

Patch disponibil — situația distribuțiilor

✅

Corecție integrată în mainline kernel Linux

Patch-ul modifică comportamentul și logica internă a ptrace pentru a bloca scenariul de atac. Distribuțiile majore sunt în curs de a integra și publica kerneluri actualizate. Verificați canalele de securitate ale distribuției voastre pentru disponibilitate.

Patch-ul introduce restricții suplimentare și ajustări în logica internă a kernelului pentru a închide rutele care permiteau utilizarea abuzivă a mecanismelor de depanare. De obicei, astfel de corecții sunt însoțite de o revizuire mai largă a rutelor de cod înrudite, pentru a reduce riscul unor variante ale aceleiași probleme — dar, după cum au demonstrat ultimele săptămâni, suprafața de atac a kernelului Linux rămâne vastă.

Contextul: patru vulnerabilități în trei săptămâni

1

Copy Fail

CVE-2026-31431 · algif_aead

2

Dirty Frag

CVE-2026-43284 · IPsec ESP

3

Fragnesia

CVE-2026-46300 · XFRM espintcp

4

ssh-keysign-pwn

ptrace · Qualys Research

Ce trebuie să facă administratorii de sisteme

• 🔄
  Actualizați kernelul imediat ce distribuția oferă pachetul corectatUrmăriți listele de securitate ale distribuției voastre — RHSA, USN, DSA, openSUSE Security Announcements — pentru a fi notificați imediat.
• 👤
  Auditați și minimizați accesul localssh-keysign-pwn necesită un cont local pe sistem. Revizuiți conturile existente, eliminați-le pe cele inutile și aplicați principiul privilegiului minim pentru utilizatorii activi.
• 🔑
  Rotiți cheile și credențialele expuse potențialDacă sistemul a avut utilizatori locali neautorizați sau dacă nu puteți exclude exploatarea, rotiți cheile SSH root, token-urile API și credențialele stocate în fișiere root-only.
• 📊
  Activați monitorizarea apelurilor ptraceSoluțiile de securitate care monitorizează apelurile de sistem neobișnuite — auditd, Falco, eBPF-based IDS — pot detecta modelele de comportament asociate cu exploatarea acestei vulnerabilități.
• 🩹
  Evaluați livepatching pentru sisteme criticePentru serverele unde reboot-ul este costisitor, soluțiile de livepatching (KernelCare, kpatch) permit aplicarea corecției fără întreruperea serviciilor.