Серьезная уязвимость в Linux, вызванная всего одним ошибочным символом.

Уязвимость типа use-after-free может быть использована для обхода защиты песочницы.

Источник: Getty Images Источник: Getty Images

Исследователи проанализировали серьезную уязвимость в Linux, которая позволяет повысить привилегии ненадежных пользователей до уровня root, используя редкую ошибку: всего один ошибочный символ внутри ядра.

Уязвимость, отслеживаемая как CVE-2026-23111, находится в nf_tables, подсистеме ядра Linux, которая обеспечивает возможности фильтрации пакетов. Она используется для управления правилами брандмауэра и заменяет более старые подсистемы, такие как iptables, ip6tables, arptables и ebtables.

!!!Что за фигня!!!

Наличие единственного ошибочно поставленного восклицательного знака в коде, реализующем nf_tables, привело к уязвимости типа «использование после освобождения памяти» (use-after-free), которая повреждает память, размещая вредоносный код по адресам памяти, которые не были должным образом освобождены от своего предыдущего содержимого. CVE-2026-23111 может быть использован непривилегированным пользователем или процессом для повышения прав доступа к системе до уровня root.

Уязвимость работает за счет нарушения процесса удаления вердиктов — определения в рамках структуры nf_tables, которое определяет, соответствует ли пакет правилу, требующему выполнения определенного действия. В этом процессе могут использоваться так называемые элементы catchall, которые действуют как подстановочный знак в случае, если поиск не находит совпадений ни с одним другим элементом в наборе.

При удалении карты вердиктов из памяти все элементы деактивируются, а счетчик ссылок цепочки уменьшается. При возникновении ошибок удаление может быть отменено, и счетчик будет увеличен. Уязвимость CVE-2026-53111 позволяет изменить этот процесс. В результате эксплойт может уменьшить значение переменной произвольное количество раз, а затем удалить и освободить цепочку, когда на нее все еще будут указывать некоторые объекты.

«В этом сообщении в блоге мы увидели, как один некорректный восклицательный знак привел к уязвимости типа «использование памяти после освобождения», которую может использовать непривилегированный пользователь в Debian и Ubuntu для повышения привилегий до уровня root», — написали в понедельник исследователи из компании Exodus Intelligence. «Хотя эксплойт несколько раз активирует уязвимость типа «использование памяти после освобождения», что приводит к утечке базового адреса ядра, утечке адресов кучи и перехвату потока управления, тесты на стабильность показали стабильность более 99% в неактивной системе».

Уязвимость была исправлена в ядре в феврале и впоследствии перенесена в основные дистрибутивы Linux. Компания FuzzingLabs продемонстрировала эксплойт, подтверждающий работоспособность уязвимости, в апреле. Компания Exodus Intelligence, обнаружившая ошибку, включила свой собственный PoC-эксплойт в сообщение, опубликованное в понедельник. Он работал на Debian и Ubuntu.

CVE-2026-53111 — одна из как минимум трех серьезных уязвимостей повышения привилегий, появившихся в Linux за последние недели. Эти уязвимости серьезны, поскольку, будучи объединены с отдельным эксплойтом, они могут быть использованы для обхода встроенных в операционную систему средств защиты.

Источник: arstechnica.com