CVE-2026-46333 (ssh-keysign-pwn): вразливість ptrace

Shared FAQ page chrome (breadcrumb, dates, read time, «Читайте далі», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Body

Розкрито нову вразливість ядра Linux, яка відстежується як CVE-2026-46333 і публічно відома як ssh-keysign-pwn. Проблема стосується логіки перевірки доступу ptrace у ядрі Linux під час завершення процесу і за певних умов може дозволити локальному непривілейованому користувачу читати чутливі файли, що належать root. Публічні експлойти proof-of-concept вже доступні.

Ця вразливість особливо важлива для багатокористувацьких систем Linux, серверів з багатьма клієнтами та середовищ, де ненадійні або частково надійні локальні користувачі мають доступ до оболонки.

Що таке CVE-2026-46333?

CVE-2026-46333 є станом гонитви в ядрі Linux на шляху перевірки доступу ptrace. Під час завершення привілейованої програми існує короткий проміжок, коли процес уже від’єднав свій дескриптор пам’яті, але все ще має відкриті файлові дескриптори. Непривілейований локальний процес може використати цю гонитву, щоб продублювати файлові дескриптори процесу, що завершується.

Публічні експлойти наразі демонструють доступ до чутливих файлів через привілейовані програми SUID, такі як:

• ssh-keysign, яка може звертатися до приватних ключів хоста SSH
• chage, яка може звертатися до /etc/shadow

Уражені системи

На основі повідомлень вендорів, доступних станом на 15 травня 2026 року:

AlmaLinux

AlmaLinux підтвердила, що AlmaLinux 9 і AlmaLinux 10 вразливі, і публічні експлойти надійно працюють на обох. AlmaLinux 8 не експлуатується поточним публічним proof-of-concept, однак базова помилка в логіці ядра присутня, і AlmaLinux готує виправлення і для неї.

Виправлені ядра AlmaLinux наразі доступні в тестовому репозиторії:

ОС	Виправлена версія ядра
AlmaLinux 8	kernel-4.18.0-553.124.4.el8_10
AlmaLinux 9	kernel-5.14.0-611.54.6.el9_7
AlmaLinux 10	kernel-6.12.0-124.56.5.el10_1

CloudLinux

CloudLinux підтвердила, що CloudLinux 8 LTS, CloudLinux 9 і CloudLinux 10 уражені поточним публічним proof-of-concept. CloudLinux 7 не уражена. CloudLinux 7h і основна CloudLinux 8 містять базову гонитву в ядрі, хоча поточний публічний proof-of-concept не експлуатує їх напряму.

CloudLinux рекомендувала негайне пом’якшення на рівні всього хоста через специфічний для CloudLinux sysctl kernel.user_ptrace=0.

Негайне пом’якшення

Постійне виправлення: встановити виправлене ядро від постачальника вашої операційної системи і перезавантажитися в нього. Доки виправлене ядро не встановлено, наведені нижче заходи можуть зменшити ризик.

Пом’якшення для серверів CloudLinux

Для систем CloudLinux застосуйте таке пом’якшення:

sysctl -w kernel.user_ptrace=0
echo 'kernel.user_ptrace = 0' | sudo tee /etc/sysctl.d/99-ptracenull.conf
sudo sysctl --system

Перевірка:

sysctl kernel.user_ptrace

Очікуваний результат:

kernel.user_ptrace = 0

Це налаштування вимикає непривілейоване використання ptrace на системах CloudLinux і блокує відомий публічний proof-of-concept на рівні ядра. CloudLinux зазначає, що це може вплинути на інструменти на кшталт gdb -p, strace -p та інші засоби налагодження чи моніторингу, які покладаються на непривілейоване приєднання до процесів.

Пом’якшення для серверів AlmaLinux

Для систем AlmaLinux рекомендується посилити Yama ptrace_scope:

sysctl -w kernel.yama.ptrace_scope=3
echo 'kernel.yama.ptrace_scope = 3' > /etc/sysctl.d/99-ssh-keysign-pwn.conf
sysctl --system

Перевірка:

sysctl kernel.yama.ptrace_scope

Очікуваний результат:

kernel.yama.ptrace_scope = 3

AlmaLinux зазначає, що значення kernel.yama.ptrace_scope 2 або 3 блокує відомі публічні експлойти. Значення 3 повністю вимикає приєднання ptrace, що може вплинути на інструменти налагодження, такі як gdb або strace -p.

Додаткове необов’язкове посилення захисту

Там, де це доречно, адміністратори також можуть зняти біт SUID з наразі відомих цільових бінарних файлів:

chmod u-s /usr/libexec/openssh/ssh-keysign 2>/dev/null
chmod u-s /usr/bin/chage

Перевірка:

ls -l /usr/libexec/openssh/ssh-keysign /usr/bin/chage

У правах доступу більше не має бути s у полі виконання для власника.

Це лише часткове пом’якшення. Воно покриває наразі відомі цілі публічного експлойту, але не виправляє базову проблему ядра. Воно також може вплинути на автентифікацію SSH на основі хоста або на використання chage не від root.

Постійне виправлення: оновіть ядро

Щойно виправлені пакети з’являться у виробничих репозиторіях вашого постачальника, оновіть ядро і перезавантажтеся:

dnf clean all
dnf update -y 'kernel*'
reboot

Після перезавантаження перевірте запущене ядро:

uname -r
rpm -q kernel | sort -V

Для AlmaLinux 8, 9 і 10 виправлені ядра вперше з’явилися в тестовому репозиторії 15 травня 2026 року. Доступність у виробничому репозиторії слід підтвердити у вендора, перш ніж застосовувати оновлення на критичних виробничих системах.

KernelCare / live patching

CloudLinux повідомила, що live-патчі KernelCare для уражених систем готуються. Щойно вони стануть доступними, сервери з KernelCare зможуть отримати виправлення без перезавантаження через стандартний процес live patching KernelCare.

Щоб оновити KernelCare вручну:

kcarectl --update

Щоб перевірити застосовані патчі:

kcarectl --patch-info | grep CVE-2026-46333

Рекомендація EuroVPS

Застосуйте пом’якшення зараз, оновіть ядро, коли ядро вендора потрапить у виробничий репозиторій, і тим часом перегляньте, які локальні користувачі мають доступ до оболонки.

Потрібна допомога?

Відкрийте тікет підтримки з особистого кабінету, і наші інженери застосують пом’якшення, оновлення та заплануть перезавантаження за вас.