Поддържащите ядрото разработчици са отстранили и четирите уязвимости през последните няколко седмици, така че система с актуализирано ядро не е засегната. Но кодът за експлоатация вече е публичен и всяка машина, която все още работи със по-старо ядро, трябва да бъде обновена.
Уязвимостите се наричат DirtyAH6, TUNderflow, PPPoEject и DiagSpill. Изследователят Asim Manizada ги открива и съобщава за тях на екипа по сигурност на ядрото на Linux в средата на юли.
Той публикува технически доклад с работещи експлойти на 18 септември, след координирано изчакване с дистрибуциите на Linux, за да могат първо да бъдат издадени съответните корекции за сигурност.
До момента няма данни четирите уязвимости да са използвани в реални атаки. Експлойтите са разработени от самия Manizada, настроени са за конкретни версии на ядрото и могат да сринат системата, поради което са предназначени за изолирани тестови среди.
Въпреки това, публичният код за експлоатация увеличава риска при споделени системи. Локалното ескалиране на привилегии е от най-голямо значение там, където даден атакуващ вече има известен достъп (например акаунт с ниски привилегии на многопотребителски сървър) и иска да превземе пълния контрол.
Засегнати системи
Три от четирите уязвимости могат да бъдат достигнати от обикновен потребител само когато са активирани неprivileged user namespaces (потребителски пространства от имена без привилегии). User namespaces са функция на Linux, която позволява на нормален потребител да действа като root в изолирана среда. Много дистрибуции ги активират по подразбиране, което позволява на атакуващия да придобие мрежовите привилегии, изисквани от експлойтите.
Четвъртата уязвимост, DiagSpill, е изключение. Тя не изисква потребителски пространства от имена или специални привилегии, стига в системата да е наличен мрежовият модул SCTP.
| Уязвимост | CVE | Област в ядрото | Локално предварително условие | Достъпна ли е отдалечено? |
|---|---|---|---|---|
| DirtyAH6 | CVE-2026-80844 | IPsec AH6 (IPv6) | Unprivileged user namespaces | Само срив (crash), и то само ако хостът рутира IPv6 и добавя Authentication Header в транспортен режим |
| TUNderflow | CVE-2026-81000 | TUN/TAP виртуални мрежови устройства | Unprivileged user namespaces | Не |
| PPPoEject | CVE-2026-68121 | PPPoE | Unprivileged user namespaces | Не |
| DiagSpill | CVE-2026-74469 | SCTP (sctp_diag) | Няма | Само срив (crash), и то само с включени SCTP опции, които не са по подразбиране |
Manizada също така установи, че две от уязвимостите — DirtyAH6 и DiagSpill, могат да бъдат задействани по мрежата, но само в редки случаи и главно за да предизвикат срив на системата.
DirtyAH6 може да срине хост, който действа като IPv6 рутер или шлюз и добавя IPsec Authentication Header в транспортен режим. DiagSpill може да срине хост само когато са включени определени SCTP опции, които по подразбиране са изключени.
Manizada постига отдалечен root достъп с DirtyAH6 единствено в собствената си лаборатория и само след предварително оформяне на паметта (memory shaping) на целевата система. Осъществяването на това само от отдалечена позиция, пише той, „изглежда изключително трудно“, въпреки че не го изключва напълно. За DiagSpill той заявява, че изобщо не вижда начин за отдалечен root достъп, дори при перфектно оформяне на паметта.
Той също така споменава, че уязвимостите теоретично биха могли да позволят на атакуващ да излезе от контейнер (container escape), но не е разработил такъв експлойт.
Какво да предприемете
Актуализирайте до ядро, което съдържа корекции за сигурност за четирите уязвимости. Първите стабилни версии на ядрото с пълния набор от корекции са:
- 5.10.270
- 5.15.221
- 6.1.188
- 6.6.157
- 6.12.109
- 6.18.50
- 7.2.4
Това са номерата на версиите от основния проект за ядрото на Linux. Повечето хора използват ядро от съответната дистрибуция (като Debian, Ubuntu, Red Hat или SUSE), която използва свои собствени номера на версиите и добавя тези корекции по собствен график. Проверете бюлетина за сигурност на вашата дистрибуция, за да потвърдите, че е предоставено обновяване, включващо и четирите корекции, вместо да разчитате единствено на посочените по-горе номера.
Ако не можете да инсталирате корекции за сигурност веднага, следните две стъпки намаляват риска:
- Изключете неprivileged user namespaces. Това затваря вектора за обикновен потребител към DirtyAH6, TUNderflow и PPPoEject. Това обаче не спира DiagSpill, нито спира контейнер или процес, който вече има права на мрежов администратор.
- Изключете засегнатите функции, ако не ги използвате: AH6, TUN/TAP, PPPoE и SCTP.
Manizada препоръчва инсталирането на корекции за сигурност пред изключването на функции, тъй като могат да съществуват и други вектори към същите уязвимости.
Как функционират грешките
И четирите уязвимости са свързани с безопасността на паметта (memory-safety) в различни части от мрежовия код на ядрото. Всяка от тях позволява на атакуващ да компрометира паметта на ядрото, което Manizada използва за получаване на root shell. Основно заложените грешки са стари — отпреди 10 до 21 години.
- DirtyAH6 се намира в IPsec кода, който обработва IPv6 Authentication Header. Кодът се е доверявал на поле от routing-header, без да го проверява спрямо броя на наличните адреси, поради което специално конфигуриран пакет кара вътрешен указател да излезе извън границите и да запише данни извън буфера.
- TUNderflow се намира във виртуалните мрежови устройства TUN и TAP. Единична стойност е използвана едновременно като резервно пространство и като размер, като прекомерно голяма стойност, подадена през Open vSwitch, кара изчислението на размера да препълни (wrap around), поради което данните от пакета попадат извън буфера.
- PPPoEject е в кода за PPP over Ethernet. Той запазва указател към мрежов буфер, докато извиква рутина на устройството, която може да освободи и премести този буфер, при което последващите записи използват вече освободена памет — уязвимост, известна като use-after-free.
- DiagSpill е в кода за отчитане на SCTP. Броячът, който проследява крайните точки на връзката, е широк само 16 бита, така че 65 536-ата крайна точка го нулира. След това кодът за отчитане не заделя никакво пространство, но копира пълния списък, записвайки около 8 MiB данни след края на буфера.
Откриване с помощта на изкуствен интелект
Manizada споделя, че е открил четирите уязвимости чрез процес с поддръжка от AI, който изгражда карта на това как ядрото управлява паметта и анализира нейната структура. Корекцията на ядрото за DirtyAH6 отбелязва това: съобщението към съответния commit съдържа ред „Assisted-by“, отдаващ заслуженото на неговия персонализиран AI инструмент.
Това е поредното разкритие в поредица от уязвимости за ескалация на привилегии в ядрото на Linux през 2026 г., няколко от които са открити с помощта на големи езикови модели. През юли Manizada разкри подобна уязвимост в Open vSwitch, наречена OVSwrap.
Един от новите експлойти използва повторно техника от Dirty Frag — друга уязвимост за придобиване на root права в Linux ядрото, разкрита през май от друг изследовател. В своя доклад Manizada посочва, че тази партида най-вероятно слага край на публичната фаза от неговото търсене на грешки с помощта на AI.