Működő demonstrációs exploitok jelentek meg négy olyan Linux-kernel-sérülékenységhez, amelyek megfelelően konfigurált, javítatlan rendszeren egy korlátozott jogosultságú helyi felhasználónak is root szintű hozzáférést biztosíthatnak.
A DirtyAH6, TUNderflow, PPPoEject és DiagSpill elnevezésű hibák a rendszermag különböző hálózati összetevőit érintik. Memóriakorrupciót idézhetnek elő, amely bizonyos feltételek mellett a legmagasabb rendszerjogosultság megszerzésére használható.
A sérülékenységek egy része több mint két évtizedig jelen volt a kernelben. Megfelelő környezetben a hibák konténerekből is elérhetők lehetnek, két esetben pedig szűken meghatározott feltételek mellett távoli szolgáltatásmegtagadás is lehetséges.
| Sérülékenység | CVE-azonosító | Érintett terület |
|---|---|---|
| DirtyAH6 | CVE-2026-80844 | IPv6 Authentication Header, AH6/XFRM |
| TUNderflow | CVE-2026-81000 | TUN/TAP virtuális hálózati eszközök |
| PPPoEject | CVE-2026-68121 | PPP over Ethernet |
| DiagSpill | CVE-2026-74469 | SCTP-diagnosztika, sctp_diag |
A Linux fejlesztői mind a négy hibát javították, és a korrekciók több támogatott stabil kernelágba is bekerültek. A nyilvános exploitok azonban növelik azoknak a rendszereknek a kockázatát, amelyeken még nem telepítették és nem aktiválták a megfelelő frissítést.
A sérülékenységeket Asim Viladi Oglu Manizada biztonsági kutató fedezte fel. A hibákat 2026. július közepén jelentette a Linux kernel biztonsági csapatának és az érintett karbantartóknak. A technikai részletek és a demonstrációs kódok szeptember 18-án, a linux-distros biztonsági levelezőlistával egyeztetett közzététel keretében váltak nyilvánossá.
A kutató szerint az alapul szolgáló programozási hibák 10–21 éve voltak jelen a rendszermagban. Bár az érintett hálózati technológiákat nem minden gépen használják aktívan, a hozzájuk tartozó kernelösszetevők számos általános célú Linux-disztribúcióban rendelkezésre állnak. A kutató technikai közleménye
A közzétett programokat meghatározott rendszerekre és kernelváltozatokra készítették. Ettől még technikai kiindulópontot adhatnak azoknak, akik más környezetekre próbálják átültetni a kihasználást.
Korlátozott helyi hozzáférésből teljes rendszerfelügyelet
A négy probléma elsősorban helyi jogosultságkiterjesztési sérülékenység. A támadónak általában először valamilyen módon kódot kell tudnia futtatni a célgépen.
Ez nem teszi alacsony kockázatúvá a hibákat. A kezdeti hozzáférés származhat ellopott hitelesítő adatokból, sérülékeny webalkalmazásból, elérhető fejlesztői szolgáltatásból, rosszindulatú szoftvercsomagból vagy egy már kompromittált konténerből.
Egy kernel-exploit ezután a támadás következő lépéseként alakíthatja át a korlátozott hozzáférést a gazdagép feletti ellenőrzéssé.
A rootjog birtokában a támadó biztonsági eszközöket állíthat le, hitelesítő adatokat szerezhet meg, védett információkat másolhat ki, rendszerfájlokat módosíthat, tartós hozzáférést építhet ki, és beavatkozhat a naplózásba. Megosztott infrastruktúrán más felhasználók munkaterhelései is veszélybe kerülhetnek.
Manizada szerint mind a négy demonstrációs program bemutatja a korlátozott helyi fióktól a root szintű kódfuttatásig vezető utat a hozzá kijelölt tesztkörnyezetben.
A megbízhatóság azonban függhet a kernel pontos összeállításától, a processzorarchitektúrától, a memória elrendezésétől és más rendszerjellemzőktől.
A kutató hangsúlyozta, hogy ezek a programok a futó kernel memóriáját rongálják. Ezért kizárólag elkülönített, eldobható virtuális gépeken vagy ellenőrzött tesztrendszereken szabad őket futtatni. Egy sikertelen próbálkozás rendszerösszeomlást vagy más kerneladatok sérülését okozhatja.
DirtyAH6: hiányos ellenőrzés az IPv6 hitelesítési fejlécében
A CVE-2026-80844, vagyis a DirtyAH6 az IPv6 Authentication Header Linux-megvalósítását és az IPsec működéséhez kapcsolódó XFRM keretrendszert érinti.
Az Authentication Header, röviden AH, az IP-forgalom sértetlenségének ellenőrzésére szolgál. Segítségével a fogadó fél megállapíthatja, hogy a csomag meghatározott részei megváltoztak-e az átvitel során.
A hitelesítési adatok kiszámítása vagy ellenőrzése előtt a kernel bizonyos IPv6-mezőket előírt formára alakít, beleértve az útválasztási fejléc egyes adatait.
A hiba az ipv6_rearrange_rthdr() függvényben volt. A kód kiszámította a fejlécben szereplő címek számát, de a mutatóműveletek előtt nem ellenőrizte megfelelően, hogy a segments_left mező értéke a megengedett tartományban marad-e.
Egy speciálisan összeállított IPv6-csomag ezért a mutatót a kijelölt puffer elé mozdíthatta, és érvénytelen memóriatartományon végzett műveletet idézhetett elő.
A kutató ezt helyi rootjog megszerzésére használta fel: kernelbeli hálózati adatszerkezetek sérülését egy későbbi, fájlhoz kapcsolódó memóriaművelet befolyásolásával kapcsolta össze.
A szokásos helyi támadási útvonalhoz AH6/XFRM-támogatás, valamint nem privilegizált felhasználók által létrehozható felhasználói és hálózati névterek szükségesek. Alternatív hozzáférést jelenthet, ha egy folyamat a támadó által vezérelt hálózati névtérhez szükséges CAP_NET_ADMIN és CAP_NET_RAW jogosultságokkal már rendelkezik.
A DirtyAH6-nak korlátozott távoli vonatkozása is van. Egy IPv6-útválasztóként vagy átjáróként működő Linux-rendszer, amely transport módban AH-fejléceket alkalmaz, a kutató szerint távolról összeomlasztható lehet.
Laboratóriumban távoli roothozzáférést is elért, de ehhez a célgépen helyben előkészítette a memória elrendezését. Ez nem azonos egy kizárólag távolról végrehajtható, általánosan működő támadás bemutatásával.
A teljesen távoli jogosultságkiterjesztést elméletileg lehetségesnek, ugyanakkor rendkívül nehéznek ítélte. A közvetlenül igazolt kockázat ezért elsősorban a helyi jogosultságkiterjesztés és a feltételes távoli szolgáltatásmegtagadás.
A javítás ellenőrzi a segments_left értékét, mielőtt módosítaná a fejlécet vagy a hozzá tartozó címmutatót. A Red Hat DirtyAH6-ismertetője
TUNderflow: hibás méretszámítás a virtuális hálózati eszközöknél
A CVE-2026-81000, vagyis a TUNderflow a Linux TUN és TAP virtuális hálózati eszközeit érinti.
Ezek a /dev/net/tun interfészen keresztül biztosítanak kapcsolatot a felhasználói térben futó alkalmazások és a kernel hálózati alrendszere között. VPN-ek, virtuális gépek, hálózati emulátorok, konténerek és szoftveresen vezérelt hálózatok is használják őket.
A hálózati eszközök gyakran szabad memóriaterületet tartanak fenn a csomagadatok előtt a később hozzáadott fejléceknek. Ezt nevezik headroomnak.
Az egymásra épülő virtuális hálózati eszközök továbbíthatják egymás felé, hogy mekkora ilyen területre van szükségük.
A sérülékeny TUN-megvalósítás nem alkalmazott megfelelő felső korlátot a kapott értékre. Később ugyanezt használta annak kiszámításához, hogy a csomagadatok mekkora része maradjon a puffer egybefüggő memóriaterületén.
Manizada olyan konfigurációt állított össze netkit, VXLAN, Open vSwitch és egy nyers TUN-port használatával, amely túl nagy headroom-értéket továbbított a TUN-meghajtónak.
Egy belső számítás alulcsordult, majd további méretszámítások is átfordultak. Ennek következtében a csomagadatokra mutató cím a számára lefoglalt memóriaterületen kívülre került.
A későbbi csomagfeldolgozás így a puffer határain túli olvasást vagy írást végezhetett, ami jogosultságkiterjesztésre felhasználható memóriakorrupciót eredményezett.
A kihasználáshoz TUN-támogatás és olyan hálózati eszközlánc szükséges, amely képes továbbítani a túlméretezett értéket. Egy egyszerű felhasználónak ehhez megfelelő névterek létrehozására is szüksége van; egy már megfelelően jogosított folyamat esetében a CAP_NET_ADMIN jelenthet alternatív hozzáférést.
A javítás korlátozza a fogadási headroom méretét, és további ellenőrzésekkel biztosítja, hogy a meghajtó csak valóban rendelkezésre álló csomagadatokat olvasson.
PPPoEject: érvénytelenné vált mutató a PPPoE-csomagok feldolgozásában
A CVE-2026-68121, vagyis a PPPoEject a Point-to-Point Protocol over Ethernet Linux-megvalósításában található memóriakezelési hiba.
A PPPoE-t ma is használják egyes szélessávú, távközlési és hálózati hozzáférési környezetekben.
Csomagküldéskor a sérülékeny pppoe_sendmsg() függvény létrehozott egy kernelbeli csomagpuffert, bemásolta az adatokat, és megőrzött egy mutatót arra a helyre, ahová később a PPPoE-fejlécet kívánta írni.
Ezután az alsóbb szintű hálózati eszköztől kérte a saját hardveres fejlécének elkészítését. Ez a művelet azonban kibővíthette vagy új memóriaterületre helyezhette a puffert.
A korábban eltárolt mutató így érvénytelenné válhatott, a PPPoE-kód mégis tovább használta. Az írás olyan memóriát érinthetett, amelyet már felszabadítottak, vagy időközben más kernelobjektum kapott meg.
A demonstrációs exploit több kernelbeli és felhasználói művelet időzítésével idézi elő a puffer áthelyezését és a felszabadított memória újrafelhasználását. A hibás írásból ezután kernelobjektum feletti ellenőrzést, végül rootjogot szerez.
A nyilvános PPPoEject-demonstráció kiválasztott Fedora 44- és Ubuntu 24.04-kernelösszeállításokra, meghatározott x86-64 környezetre készült. Előfeltételei között szerepel a megfelelő felhasználói és hálózati névterek létrehozása, a FUSE elérése és több hálózati összetevő támogatása.
Ezek a feltételek korlátozzák az azonnali, válogatás nélküli kihasználást. Tartós védelemnek azonban nem tekinthetők: más kernelváltozathoz módosítható lehet az exploit, és bizonyos konténerek eleve rendelkezhetnek a szükséges hálózati jogosultságokkal.
A javítás az alsóbb hálózati eszköz fejlécének elkészítése után újra lekéri a PPPoE-fejléc aktuális helyét. A kapcsolódó módosítás arról is gondoskodik, hogy a megfelelő eltolási érték frissüljön, ha a puffer tartalma máshová kerül.
DiagSpill: számlálótúlcsordulás és mintegy 8 MiB-os túlírás
A CVE-2026-74469, vagyis a DiagSpill az SCTP hálózati protokoll diagnosztikai funkcióit érinti.
Az SCTP többek között lehetővé teszi, hogy egy végponthoz több hálózati cím tartozzon. A Linux az SCTP-kapcsolat másik oldalának címeihez külön szállítási adatszerkezeteket tart fenn.
Az sctp_diag komponens a socketdiagnosztikai és Netlink-interfészeken keresztül teszi lekérdezhetővé ezeket az adatokat. Ilyen felületeket használ például az ss segédprogram is.
A hiba abból adódott, hogy az egy kapcsolathoz felvehető címek száma meghaladhatta a számláló ábrázolási tartományát.
Egy SCTP-kapcsolathoz 65 536 partneroldali szállítási bejegyzés tartozhatott, miközben a transport_count mező csak 16 bites volt. A 65 536. bejegyzés hozzáadásakor a számláló 65 535-ről nullára fordult.
A diagnosztikai kód emiatt nem foglalt helyet a partneradatoknak, de később mégis bemásolta a teljes listát. A kutató szerint ez hozzávetőleg 8 MiB adat pufferen túli kiírását eredményezhette a Netlink-válaszban.
A DiagSpill különösen fontos eltérése, hogy az alapul szolgáló memóriakorrupció eléréséhez nem szükséges nem privilegizált felhasználói névtér vagy különleges Linux-képesség. Az SCTP és az sctp_diag hozzáférhetősége a döntő feltétel.
Ezért konténerből is elérhető lehet a gazdagép kernelét érintő hiba, ha ezek a funkciók hozzáférhetők. A kutató ugyanakkor nem dolgozta ki a demonstrációt teljes konténerkitöréssé.
Feltételes távoli szolgáltatásmegtagadási lehetőség is létezik. Ehhez bizonyos SCTP-címátkonfigurálási és hitelesítési beállításoknak aktívnak kell lenniük. A rosszindulatú partner ezután elegendő bejegyzést hozhat létre a számláló túlcsordításához.
A túlírást azonban még ekkor is egy, a célgépen kiadott diagnosztikai kérés váltja ki. Az érintett SCTP-beállítások alapértelmezésben ki vannak kapcsolva, és a kutató nem azonosított meggyőző utat e távoli helyzetből a rootjog megszerzéséhez.
A javítás megakadályozza újabb egyedi partnerbejegyzés felvételét, amikor a számláló eléri a maximális értékét.
A konténerkörnyezetek külön figyelmet igényelnek
A hagyományos Linux-konténerek a gazdagép kernelét használják. Elkülönítésük ezért eltér a saját vendégkernelt futtató, hardveres virtualizációra épülő virtuális gépekétől.
Ha egy konténerből elérhető a sérülékeny kernelkód, a memóriakorrupció a gazdagép rendszermagját érinti.
A DirtyAH6, a TUNderflow és a PPPoEject esetében a szükséges hálózati képességekkel rendelkező folyamat vagy konténer új felhasználói névtér létrehozása nélkül is hozzáférhet a hibás kódhoz. A DiagSpillhez ilyen különleges képességek sem feltétlenül szükségesek, amennyiben az SCTP-funkciók elérhetők.
Egy sikeres kernel-exploit így elméletileg áttörheti a konténerhatárt, és a gazdagépen futó további munkaterheléseket is veszélyeztetheti.
A kernelhiba konténerből való elérhetősége azonban nem bizonyítja, hogy a közzétett exploit minden konténerkörnyezetből működő kitörést biztosít.
A vizsgálatnak ezért a hagyományos szerverek mellett a Kubernetes-csomópontokra, konténergazdagépekre, CI/CD-futtatókra, felhős fejlesztői környezetekre és más, nem teljesen megbízható kódot végrehajtó rendszerekre is ki kell terjednie.
A tényleges konfiguráció jelentőségét a Red Hat értékelése is mutatja: az OpenShift alapértelmezett biztonsági konfigurációja mellett alacsony kockázatot állapít meg, de ez nem feltétlenül érvényes a további hálózati jogosultságokat kapott munkaterhelésekre. A Red Hat biztonsági tájékoztatója
A SELinux és az AppArmor nem helyettesíti a kerneljavítást
A SELinux és az AppArmor továbbra is fontos védelmi réteg, de nem szabad automatikusan abból kiindulni, hogy megakadályozzák a kernelmemória sérülésére épülő támadásokat.
Manizada beszámolója szerint a tesztelt környezetekben ezek a megoldások nem állították meg az exploitláncokat.
Lényeges kivételt jelentettek azok az Ubuntu AppArmor-korlátozások, amelyek magát a nem privilegizált felhasználói névterek létrehozását akadályozzák. Ezek egyes, névterekre támaszkodó támadások szokásos felhasználói útvonalát lezárhatják.
Az eredményt a vizsgált környezetekre kell érteni, nem minden lehetséges biztonsági házirendre. A közvetlen kernelmemória-módosítás mindenesetre olyan szinten avatkozik be a működésbe, amely alááshatja a felhasználói alkalmazásokra alkalmazott korlátozásokat.
Az elsődleges helyreállító intézkedés ezért a javított kernel telepítése és használata.
Mely kernelverziók tartalmazzák mind a négy javítást?
A kutatói közlemény szerint az alábbiak az érintett upstream stabil ágak első olyan kiadásai, amelyek mind a négy sérülékenység javítását tartalmazzák:
| Kernelág | Az első, mind a négy javítást tartalmazó kiadás |
|---|---|
| 5.10 | 5.10.270 |
| 5.15 | 5.15.221 |
| 6.1 | 6.1.188 |
| 6.6 | 6.6.157 |
| 6.12 | 6.12.109 |
| 6.18 | 6.18.50 |
| 7.2 | 7.2.4 |
Ezek a verziószámok az upstream kernelek összehasonlításához használhatók. Vállalati rendszereken elsősorban a disztribúció biztonsági közleményeire és javított csomagjaira kell támaszkodni.
A gyártók gyakran visszaültetik a javításokat korábbi kernelverziókra. Emiatt egy alacsonyabbnak tűnő verziószám önmagában nem bizonyítja, hogy a rendszer sérülékeny.
Azt kell ellenőrizni, hogy az adott kernelcsomag tartalmazza-e mind a négy CVE javítását, majd azt is, hogy ténylegesen ez a kernel fut-e.
A csomag telepítése nem elegendő, ha továbbra is a régi, sérülékeny kernel működik a memóriában. A szokásos frissítési folyamatban a rendszert újra kell indítani a javított kernellel. Újraindítás nélküli javítás esetén külön igazolni kell, hogy az alkalmazott, támogatott megoldás mind a négy hibát lefedi.
A kutatói közlemény sérülékenységenként közli az érintett upstream verziótartományokat, a javításokat és a kihasználási előfeltételeket.
Átmeneti védekezés, ha a frissítés nem telepíthető azonnal
A nem privilegizált felhasználói névterek létrehozásának letiltása csökkentheti a DirtyAH6, a TUNderflow és a PPPoEject kitettségét. Ezzel megszüntethető a három hiba szokásos, egyszerű felhasználótól induló elérési útvonala.
Ez azonban nem teljes körű védelem. A szükséges hálózati képességekkel rendelkező folyamatok és konténerek továbbra is elérhetik a sérülékeny kódot, a DiagSpill pedig nem függ a felhasználói névterektől.
Megfontolható a nem használt AH6/XFRM-, TUN/TAP-, PPPoE-, SCTP- és sctp_diag-funkciók kikapcsolása is. A felesleges betölthető modulok tiltása különösen szűk feladatkörű szervereken csökkentheti a támadási felületet.
A modulbetöltés tiltása ugyanakkor nem kapcsolja ki a közvetlenül a kernelbe fordított funkciókat. A már betöltött modulok állapotát is kezelni és ellenőrizni kell.
A közzététel az oss-security levelezőlistán szélesebb vitát indított arról, hogy a ritkábban használt hálózati modulokat alapértelmezésben mennyire célszerű hozzáférhetővé tenni. Hanno Böck biztonsági kutató a szükségtelen funkciókat kihagyó kernelkonfigurációk támadási felületet csökkentő előnyeire hívta fel a figyelmet.
A modulok külön csomagolása és korlátozása ugyanakkor kompatibilitási és karbantartási kérdéseket is felvet. Az oss-security kapcsolódó szakmai vitája
A változtatásokat tesztelni kell. VPN-ek, virtuális hálózatok, konténerek és távközlési alkalmazások jogosan támaszkodhatnak ezekre az összetevőkre. Átgondolatlan letiltásuk szolgáltatáskiesést okozhat.
A nyilvános exploitok sürgetik a frissítést
A hivatkozott közzétételek nem igazolnak éles, rosszindulatú támadási kampányt a négy sérülékenységgel. A működő demonstrációs kód elérhetősége azonban csökkenti a hibák tanulmányozásához és további kihasználásuk kidolgozásához szükséges munkát.
A programok nem használhatók változtatás nélkül minden rendszeren. Több esetben összetett konfigurációra és a memória elrendezésének gondos előkészítésére van szükség.
Ezek a feltételek lassíthatják a széles körű kihasználást, de nem tekinthetők tartós biztonsági határnak. A támadási technikákat a közzététel után továbbfejleszthetik, és más sérülékenységekkel összekapcsolva webalkalmazásokból, konténerekből vagy fejlesztői szolgáltatásokból induló behatolás részeként használhatják.
Elsőbbséget érdemelnek azok a gépek, amelyeken nem megbízható felhasználók futtathatnak kódot, engedélyezett a szükséges névterek létrehozása, a konténerek kiterjesztett hálózati jogosultságot kapnak, vagy több ügyfél osztozik ugyanazon a kernelen.
Az internet felől elérhető szerverekre is figyelni kell: egy másik hibán keresztül megszerzett, kezdetben korlátozott hozzáférés elegendő kiindulópont lehet a helyi jogosultságkiterjesztéshez.
Az üzemeltetők feladata az érintett rendszerek azonosítása, a disztribúció által biztosított javítások telepítése, majd annak igazolása, hogy a futó kernel már tartalmazza a CVE-2026-80844, CVE-2026-81000, CVE-2026-68121 és CVE-2026-74469 korrekcióját.
Az eredeti angol cikk címe: Public Exploits Released For Multiple Linux Kernel Flaws Enabling Root Access.
