CVE-2026-46333 / ssh-keysign-pwn: ptrace-Schwachstelle

Eine neue Schwachstelle im Linux-Kernel, geführt als CVE-2026-46333 und öffentlich als ssh-keysign-pwn bezeichnet, wurde bekannt gemacht. Das Problem betrifft die Zugriffsprüfung von ptrace im Linux-Kernel beim Beenden eines Prozesses und kann es einem lokalen, nicht privilegierten Benutzer unter bestimmten Bedingungen ermöglichen, sensible Dateien zu lesen, die root gehören. Öffentliche Proof-of-Concept-Exploits sind bereits verfügbar.

Diese Schwachstelle ist besonders wichtig für Mehrbenutzer-Linux-Systeme, mandantenfähige Server und Umgebungen, in denen nicht oder nur teilweise vertrauenswürdige lokale Benutzer Shell-Zugang haben.

---

Was ist CVE-2026-46333?

CVE-2026-46333 ist eine Race Condition des Linux-Kernels im Pfad der ptrace-Zugriffsprüfung. Beim Beenden eines privilegierten Programms gibt es ein kurzes Zeitfenster, in dem der Prozess seinen Memory Descriptor bereits freigegeben hat, aber noch offene File Descriptors hält. Ein nicht privilegierter lokaler Prozess kann dieses Race ausnutzen, um File Descriptors des gerade beendenden privilegierten Prozesses zu duplizieren.

Die öffentlichen Exploits demonstrieren derzeit den Zugriff auf sensible Dateien über privilegierte SUID-Programme wie:

• ssh-keysign, das auf die privaten Host-Schlüssel von SSH zugreifen kann
• chage, das auf /etc/shadow zugreifen kann

---

Betroffene Systeme

Nach den Hersteller-Advisories, die am 15. Mai 2026 verfügbar waren:

AlmaLinux

AlmaLinux hat bestätigt, dass AlmaLinux 9 und AlmaLinux 10 verwundbar sind; die öffentlichen Exploits funktionieren auf beiden zuverlässig. AlmaLinux 8 ist mit dem aktuellen öffentlichen Proof-of-Concept nicht ausnutzbar, der zugrunde liegende Logikfehler im Kernel ist jedoch vorhanden, und AlmaLinux bereitet auch dafür Patches vor.

Gepatchte AlmaLinux-Kernel sind derzeit im Testing-Repository verfügbar:

Betriebssystem	Gepatchte Kernel-Version
AlmaLinux 8	kernel-4.18.0-553.124.4.el8_10
AlmaLinux 9	kernel-5.14.0-611.54.6.el9_7
AlmaLinux 10	kernel-6.12.0-124.56.5.el10_1

CloudLinux

CloudLinux hat bestätigt, dass CloudLinux 8 LTS, CloudLinux 9 und CloudLinux 10 vom aktuellen öffentlichen Proof-of-Concept betroffen sind. CloudLinux 7 ist nicht betroffen. CloudLinux 7h und das reguläre CloudLinux 8 enthalten das zugrunde liegende Kernel-Race, auch wenn das aktuelle öffentliche Proof-of-Concept sie nicht direkt ausnutzt.

CloudLinux hat eine sofortige hostweite Gegenmaßnahme über das CloudLinux-spezifische sysctl kernel.user_ptrace=0 empfohlen.

---

Sofortige Gegenmaßnahme

Die dauerhafte Korrektur besteht darin, einen gepatchten Kernel Ihres Betriebssystemherstellers zu installieren und in diesen Kernel neu zu starten. Bis der gepatchte Kernel installiert ist, können die folgenden Gegenmaßnahmen die Angriffsfläche verringern.

---

Gegenmaßnahme für CloudLinux-Server

Wenden Sie auf CloudLinux-Systemen die folgende Gegenmaßnahme an:

sysctl -w kernel.user_ptrace=0
echo 'kernel.user_ptrace = 0' | sudo tee /etc/sysctl.d/99-ptracenull.conf
sudo sysctl --system

Prüfung:

sysctl kernel.user_ptrace

Erwartete Ausgabe:

kernel.user_ptrace = 0

Diese Einstellung deaktiviert die nicht privilegierte Nutzung von ptrace auf CloudLinux-Systemen und blockiert das derzeit bekannte öffentliche Proof-of-Concept auf Kernel-Ebene. CloudLinux weist darauf hin, dass dies Werkzeuge wie gdb -p, strace -p und andere Debugging- oder Monitoring-Werkzeuge beeinträchtigen kann, die auf das Anhängen an Prozesse ohne Privilegien angewiesen sind.

---

Gegenmaßnahme für AlmaLinux-Server

Für AlmaLinux-Systeme empfiehlt AlmaLinux, den ptrace_scope von Yama zu verschärfen:

sysctl -w kernel.yama.ptrace_scope=3
echo 'kernel.yama.ptrace_scope = 3' > /etc/sysctl.d/99-ssh-keysign-pwn.conf
sysctl --system

Prüfung:

sysctl kernel.yama.ptrace_scope

Erwartete Ausgabe:

kernel.yama.ptrace_scope = 3

AlmaLinux gibt an, dass ein kernel.yama.ptrace_scope von 2 oder 3 die bekannten öffentlichen Exploits blockiert. Der Wert 3 deaktiviert ptrace attach vollständig, was Debugging-Werkzeuge wie gdb oder strace -p beeinträchtigen kann.

---

Optionale zusätzliche Härtung

Wo angebracht, können Administratoren zusätzlich das SUID-Bit von den derzeit bekannten Ziel-Binaries entfernen:

chmod u-s /usr/libexec/openssh/ssh-keysign 2>/dev/null
chmod u-s /usr/bin/chage

Prüfung:

ls -l /usr/libexec/openssh/ssh-keysign /usr/bin/chage

Die Rechte sollten im Ausführungsfeld des Eigentümers kein s mehr zeigen.

Dies ist nur eine teilweise Gegenmaßnahme. Sie deckt die derzeit bekannten Ziele der öffentlichen Exploits ab, behebt aber nicht das zugrunde liegende Kernel-Problem. Sie kann außerdem die hostbasierte SSH-Authentifizierung oder die Nutzung von chage durch Nicht-Root-Benutzer beeinträchtigen.

---

Dauerhafte Korrektur: Kernel aktualisieren

Sobald die gepatchten Pakete in den Produktions-Repositories Ihres Herstellers verfügbar sind, aktualisieren Sie den Kernel und starten Sie neu:

dnf clean all
dnf update -y 'kernel*'
reboot

Prüfen Sie nach dem Neustart den laufenden Kernel:

uname -r
rpm -q kernel | sort -V

Für AlmaLinux 8, 9 und 10 wurden gepatchte Kernel am 15. Mai 2026 zunächst im Testing-Repository bereitgestellt. Die Verfügbarkeit in Produktion sollte im Hersteller-Repository bestätigt werden, bevor Sie Updates auf kritischen Produktionssystemen einspielen.

---

KernelCare / Live-Patching

CloudLinux hat erklärt, dass KernelCare-Live-Patches für die betroffenen Systeme vorbereitet werden. Sobald sie verfügbar sind, sollten Server mit KernelCare die Korrektur ohne Neustart über den üblichen Live-Patching-Prozess von KernelCare erhalten.

KernelCare manuell aktualisieren:

kcarectl --update

Angewendete Patches prüfen:

kcarectl --patch-info | grep CVE-2026-46333

---

Empfehlung von EuroVPS

Setzen Sie jetzt die Gegenmaßnahme um, patchen Sie, sobald der Hersteller-Kernel das Produktions-Repository erreicht, und prüfen Sie in der Zwischenzeit, welche lokalen Benutzer Shell-Zugang haben.

---

Brauchen Sie Unterstützung?

Eröffnen Sie ein Support-Ticket im Kundenbereich, und unsere Ingenieure übernehmen die Gegenmaßnahme, das Patchen und die Planung des Neustarts für Sie.