Qualys Tehdit Araştırma Ekibi (TRU) tarafından yapılan yeni bir analize göre, Linux çekirdeğinde dokuz yıldır var olan bir mantık hatası, yetkisiz yerel kullanıcıların SSH özel anahtarları ve sistem şifre hash'leri gibi hassas dosyaları okumasına olanak tanıyor. CVE-2026-46333 olarak takip edilen bu güvenlik açığı, Kasım 2016'dan beri ana Linux çekirdeğinde bulunuyor. Debian, Fedora ve Ubuntu'nun varsayılan kurulumları etkilenirken, yamalar ve dağıtım güncellemeleri yayınlandı. Ayrıca, çalışan istismar kodları kamuya açık olarak dolaşıyor.
Açık, çekirdeğin __ptrace_may_access() fonksiyonunda yer alıyor. Qualys, ayrıcalıklı bir işlemin kimlik bilgilerini düşürürken ptrace işlemleriyle erişilebilir kaldığı dar bir zaman penceresi tespit etti. Bu pencere, pidfd_getfd() sistem çağrısı ile birleştirildiğinde, saldırganın setuid ikili dosyasından dosya tanımlayıcılarını yakalamasına ve altındaki dosyalara erişmesine olanak tanıyor. Qualys tarafından geliştirilen kanıt kodu (PoC), SSH anahtarlarını hedef alan ssh-keysign ve /etc/shadow dosyasını hedef alan chage araçlarını kullanıyor.
Qualys TRU, pkexec ve accounts-daemon için de çalışan istismarlar geliştirdi. Dört istismar farklı etkilere sahip: chage ve ssh-keysign bilgi sızdırırken, pkexec ve accounts-daemon saldırganın root olarak keyfi komutlar çalıştırmasına izin veriyor. CVSS puanı 5.5 olmasına rağmen Qualys, sızdırılan dosyaların sistemin tamamen ele geçirilmesi için yeterli olduğunu belirterek riskin daha yüksek olduğunu savunuyor.
Sistem Güvenliği
En büyük risk, paylaşımlı barındırma ve çok kiracılı CI ortamları gibi yetkisiz kabukların sıkça kullanıldığı ortamlarda. Yöneticilerin vakit kaybetmeden dağıtımlarına uygun çekirdek güncellemesini uygulamaları öneriliyor. Geçici bir önlem olarak, kernel.yama.ptrace_scope değerinin sysctl ile 2'ye yükseltilmesi, ptrace ekini CAP_SYS_PTRACE ile sınırlayarak istismar yolunu kapatıyor ancak ayrıcalıksız hata ayıklama iş akışlarını engelliyor.
