Een nieuwe Linux-kwetsbaarheid maakt het mogelijk voor lokale aanvallers om onder andere SSH-keys te stelen en code als root uit te voeren. Updates en mitigaties zijn beschikbaar en beheerders worden opgeroepen om die zo snel mogelijk te installeren. Inmiddels zijn ook werkende exploits online verschenen, aldus securitybedrijf Qualys dat de kwetsbaarheid met de naam 'ssh-keysign-pwn' ontdekte.

Het beveiligingslek (CVE-2026-46333) betreft volgens Qualys een logicafout waardoor lokale unprivileged gebruikers toegang tot gevoelige bestanden kunnen krijgen en code kunnen uitvoeren. Canonical noemt het een zogenoemde race condition, waardoor bestanden geopend door een suid of sgid executable beschikbaar zijn voor een unprivileged aanvaller, die de suid of sgid executable aanroept.

De race condition doet zich voor wanneer het privileged proces sluit, waardoor de executable de gevoelige bestanden tijdens het sluiten open moet houden. Tijdens een kort moment kan een unprivileged aanvaller het aangeroepen proces inspecteren. Zodoende kan er bijvoorbeeld toegang worden verkregen tot de inhoud van /etc/shadow, dat gehashte wachtwoorden van gebruikers bevat. Ook kan een aanvaller OpenSSH server host private keys lezen en code als root uitvoeren.

Qualys meldt dat het de kwetsbaarheid via een responsible disclosure proces heeft gemeld. Vervolgens ontwikkelde het Linux kernel security team een oplossing. De patch werd op 14 mei gecommit. Hierna maakte Qualys de kwetsbaarheid via de mailinglist van Linux-distributies bekend, het kanaal om de update downstream uitgerold te krijgen. Niet veel later verscheen er een exploit online, gebaseerd op de publieke kernel commit. Het embargo dat voor de kwetsbaarheid bestond bood daardoor geen bescherming meer. Nadat distributies met updates kwamen heeft Qualys de details nu openbaar gemaakt.

"CVE-2026-46333 is alleen lokaal te misbruiken, maar de impact is groot. Lokaal betekent geen lage prioriteit. Elke unprivileged shell op een kwetsbare host is genoeg om /etc/shadow te lezen, SSH host private keys te stelen of via gekaapte dbus-verbindingen naar systemd willekeurige commando's uit te voeren", aldus Saeed Abbasi van Qualys. Hij voegt toe dat een gedeelde multi-tenant host zo een direct pad richting root wordt. De kwetsbaarheid was sinds november 2016 in de Linux-kernel aanwezig.