Хакер #326. Router from Hell
Подписка на «Хакер» -50%
Исследователи компании Nebula Security рассказали об уязвимости GhostLock ( CVE-2026-43499 ), обнаруженной в ядре Linux. Этот баг позволяет непривилегированному локальному пользователю повысить права до уровня root и осуществить побег из контейнера. Проблема присутствовала в коде ядра с 2011 года и в результате затронула практически все популярные дистрибутивы.
По словам специалистов, уязвимость возникла в Linux 2.6.39 после переработки подсистемы rtmutex, которая реализует блокировки с наследованием приоритетов. Ошибка связана с функцией remove_waiter(), которая удаляет ожидающий поток из очереди блокировки и сбрасывает связанное с ним состояние.
Проблема возникает при откате операции futex_requeue() после обнаружения дедлока. В этот момент код обрабатывает waiter «спящего» потока, однако remove_waiter() по ошибке обращается к текущей задаче. В результате в структуре «спящего» потока сохраняется указатель на объект waiter в стеке ядра. После возврата потока в userspace этот участок стека уже может использоваться повторно, хотя ссылка на него остается, что приводит к use-after-free.
Исследователи разработали для CVE-2026-43499 эксплоит , который позволяет получить контроль над выполнением кода в ядре и root-права. В тестах атака срабатывала в 97% случаев и занимала около пяти секунд. В отчете подчеркивается, что какие-либо дополнительные привилегии, нестандартные настройки ядра или сетевой доступ для атаки не требуются.
Кроме того, эксплоит позволяет осуществить побег из контейнера и скомпрометировать систему хоста.
За демонстрацию этой атаки в рамках программы bug bounty kernelCTF команда получила от Google вознаграждение в размере 92 337 долларов США. При этом исследователи пишут, что уязвимость помог обнаружить ИИ-инструмент VEGA, разработанный в Nebula Security.
Исправление для GhostLock было включено в ядро еще в апреле 2026 года, однако администраторам рекомендуют устанавливать не первый пропатченный билд, а наиболее свежее ядро. Дело в том, что первоначальный патч спровоцировал появление отдельной ошибки CVE-2026-53166, способной вызывать сбой в работе системы.
Подчеркивается, что альтернативных решений для полноценной защиты от GhostLock нет. Хотя параметры сборки RANDOMIZE_KSTACK_OFFSET и STATIC_USERMODE_HELPER усложняют эксплуатацию, саму уязвимость это не устраняет.
Также следует отметить, что уязвимость GhostLock является частью цепочки атаки IonStack , недавно продемонстрированной специалистами Nebula Security. На первом этапе эта атака использует уязвимость CVE-2026-10702 в JIT-движке Firefox, а затем эксплуатирует CVE-2026-43499 в ядре Linux для получения root-доступа.
В результате эксперты компании показали полную атаку на Android: от перехода по вредоносной ссылке, который приводил к компрометации браузера, до полной компрометации системы. Связанную с этим методом уязвимость CVE-2026-10702 в Firefox исправили с релизом версии 151.0.3.