Дві небезпечні вразливості Linux існували 15–16 років: Google виплатила понад $340 тисяч за їх виявлення

У Linux цього тижня було виявлено дві серйозні вразливості. Одна з них дає змогу недовіреним гостьовим віртуальним машинам отримати доступ із правами root до хост-системи, а інша дозволяє користувачам із обмеженими привілеями підвищити свої права до адміністратора.

Читайте также: Серіал “Земля гангстерів” отримав дату прем’єри другого сезону та трейлер

Januscape: загроза для хмарних платформ

Перша вразливість, що отримала ідентифікатор CVE-2026-53359, знаходиться в KVM (Kernel-based Virtual Machine) — системі віртуалізації, яка входить до складу ядра багатьох дистрибутивів Linux. Вона дозволяє гостьовій віртуальній машині вийти за межі своєї ізоляції та отримати контроль над хостом. Проблема зачіпає KVM як на процесорах AMD, так і Intel. Вона пов’язана з помилками у так званій гостьовій частині KVM — компонентах, що працюють усередині самої віртуальної машини, включаючи операційну систему та драйвери, а не в ресурсах хост-комп’ютера. За словами дослідника, ця помилка залишалася непоміченою в ядрі Linux протягом 16 років.

Кім назвав знайдену вразливість Januscape. Вона належить до класу use-after-free — помилок пошкодження пам’яті, коли програма продовжує використовувати вже звільнену область пам’яті. Такі помилки можуть бути використані для виконання довільного коду. Джерелом проблеми стала реалізація shadow MMU — механізму, який відповідає за перетворення адрес пам’яті між гостьовою системою, гіпервізором і хостом.

Вразливість не пов’язана з QEMU — окремим компонентом віртуалізації, який також бере участь у роботі з пам’яттю. Саме тому атака може бути успішною навіть у хмарних сервісах, що використовують власні реалізації стеку віртуалізації. Для проведення атаки користувач гостьової системи повинен уже мати права root усередині своєї віртуальної машини. За повідомлення про Januscape компанія Google виплатила винагороду у розмірі $250 000.

GhostLock

Друга серйозна вразливість отримала ідентифікатор CVE-2026-43499. Вона дозволяє користувачам із обмеженими правами отримати повний доступ до системи. Помилка також існувала дуже давно — близько 15 років. Дослідники компанії Nebula Security повідомили, що знайшли її за допомогою Vega — власного інструмента для пошуку вразливостей із використанням штучного інтелекту.

Далі дослідники змогли побудувати ланцюжок експлуатації, який використовує це “висяче” посилання для повного захоплення керування та змушує ядро виконувати довільний код із правами root. Код механізму futex, що містить помилку, був написаний ще у 2011 році й протягом багатьох років майже не переглядався. Вразливість отримала назву GhostLock та оцінку 7,8 із 10 за шкалою CVSS. За її виявлення Google виплатила дослідникам $92 337 у рамках програми kernelCTF. Для обох вразливостей уже підготовлено виправлення в ядрі Linux. Користувачам рекомендується перевірити, чи отримав їхній дистрибутив відповідні оновлення, та встановити їх якомога швидше.

Читайте также: Огляд TWS-навушників OPPO Enco Air 5: більше, ніж очікуєш за ці гроші

Джерело: ArsTechnica