ssh-keysign-pwn: читаем privileged FD через kernel race
ssh-keysign-pwn: читаем privileged FD через kernel race #linux #kernel #openssh #lpe #sshd Пока все по привычке смотрят на sshd, проблема прилетела в ядро. ssh-keysign-pwn показывает локальный read primitive: непривилегированный пользователь может успеть забрать file descriptor у привилегированного процесса в момент его выхода. Что нашли Qualys зарепортили баг, Linus закрыл его в mainline commit 31e62c2ebbfd 14 мая 2026. Суть в __ptrace_may_access(): в do_exit() после exit_mm() у task уже mm == NULL, но до exit_files() FD еще живы. В этом окне pidfd_getfd() может продублировать чужой FD из-за слишком мягкого ptrace-check. Что делает тул PoC эксплуатирует две цели: sshkeysign_pwn ловит ssh-keysign и читает /etc/ssh/ssh_host_*_key chage_pwn` ловит chage -l и читает /etc/shadow В README указаны подтвержденные цели: Raspberry Pi OS Bookworm 6.12.75, Debian 13, Ubuntu 22.04 / 24.04 / 26.04, Arch, CentOS 9. Impact Это локальная уязвимость, не remote RCE в OpenSSH. Но impact нифиговый такой: для SSH это риск impersonation/MitM до ротации host keys, а /etc/shadow - офлайн-брут паролей. Классическое "мы же сделали privilege drop" встретилось с реальностью kernel race. Что делать Ждать backport/обновление ядра с фиксом. Если PoC уже отрабатывал на хосте - ротировать SSH host keys и сбрасывать/аудировать пароли. PoC: GitHub Патч: kernel.org Новость: Phoronix @poxek | MAX | Блог | YT | RT | VK