Linux çekirdeğinde Kasım 2016'dan bu yana var olan ve CVE-2026-46333 olarak izlenen bir güvenlik açığı, yetkisiz yerel kullanıcıların SSH özel anahtarları ve sistem parola hash'leri gibi hassas dosyaları okumasına olanak tanıyor. Qualys Tehdit Araştırma Birimi (TRU) tarafından keşfedilen açık, Debian, Fedora ve Ubuntu'nun varsayılan kurulumlarını etkiliyor. Çekirdek yamaları ve dağıtım güncellemeleri yayınlanmış olup, çalışan istismar kodları kamuya açık hale geldi. Bu açık, son üç hafta içinde duyurulan Copy Fail, Dirty Frag ve Fragnesia'dan sonra dördüncü Linux çekirdeği yerel güvenlik sorunu olarak dikkat çekiyor.
Güvenlik açığı, çekirdeğin __ptrace_may_access() fonksiyonunda yer alıyor. Qualys, ayrıcalıklarını bırakan bir sürecin, dumpable bayrağının erişimi kapatması gerekirken, ptrace işlemleri aracılığıyla hâlâ erişilebilir durumda olduğu dar bir zaman penceresi tespit etti. Bu pencere, Ocak 2020'de eklenen pidfd_getfd() sistem çağrısıyla birleştiğinde, saldırganın setuid ikili dosyasından dosya tanımlayıcılarını yakalamasına ve temeldeki dosyalara erişmesine olanak tanıyor. Qualys tarafından geliştirilen kanıtlama konsepti (PoC), kimlik doğrulama imzası sırasında SSH anahtarlarını kısa süreliğine açık tutan ssh-keysign setuid ikili dosyasını hedef alıyor. İkinci bir varyant ise chage ikili dosyasını hedefleyerek /etc/shadow dosyasına açık tanıtıcıyı çalıyor ve tüm kullanıcıların parola hash'lerini ifşa ediyor.
Qualys TRU ayrıca pkexec ve accounts-daemon ikili dosyalarına karşı çalışan istismarlar geliştirdi ancak bunları koordineli ifşa süresi boyunca kamuya açıklamadı. Qualys TRU kıdemli yöneticisi Saeed Abbasi, tekniğin 'herhangi bir yerel kabuğu root'a veya hassas kimlik bilgilerine giden bir yola dönüştürdüğünü' belirtti. Dört istismarın etki alanı farklılık gösteriyor: chage ve ssh-keysign bilgi ifşası sağlarken, pkexec ve accounts-daemon saldırganın root olarak keyfi komutlar çalıştırmasına izin veriyor. CVSS puanı 5.5 olmasına rağmen Qualys, pratikte yetkisiz erişim ile tam sistem ele geçirme arasındaki ayrımın ortadan kalktığını, çünkü ifşa edilen dosyaların tek başına sistemi ele geçirmek için yeterli olduğunu savunuyor.
Teknik Analiz
Risk profili, özellikle paylaşımlı barındırma ve çok kiracılı CI ortamlarında yetkisiz kabukların sıklıkla bulunduğu durumlarda en yüksek seviyededir. Yöneticilerin, dağıtımları için sağlanan çekirdek güncellemelerini gecikmeden uygulamaları öneriliyor. Geçici bir önlem olarak Ubuntu ve Qualys, kernel.yama.ptrace_scope değerinin sysctl ile 2'ye yükseltilmesini öneriyor. Bu ayar, ptrace bağlantısını CAP_SYS_PTRACE yetkisine bağlayarak genel istismar yolunu kapatıyor ancak ayrıcalıksız hata ayıklama iş akışlarını engelliyor.
