一个存在9年的Linux内核漏洞使得在主流发行版上可以执行root命令

摘要：…

该漏洞编号为CVE-2026-46333（CVSS 评分：5.5），是由于权限管理不当造成的，可能允许非特权本地用户泄露敏感文件，并在 Debian、Fedora 和 Ubuntu 等多个主流发行版的默认安装中以 root 权限执行任意命令。该漏洞的代号为 ssh-keysign-pwn。

成功利用此漏洞可能允许本地攻击者泄露 /etc/shadow 和 /etc/ssh/*_key 下的主机私钥，并通过针对 chage、ssh-keysign、pkexec 和 accounts-daemon 的四个不同的漏洞利用程序以 root 身份执行任意命令。

此次披露正值该漏洞的概念验证（PoC）利用程序上周发布之际，此前不久，一个公开的内核提交也已出现。CVE-2026-46333 是继过去一个月内披露的 Copy Fail、 Dirty Frag和 Fragnesia漏洞之后，Linux 内核中最新披露的安全漏洞。

建议应用 Linux 发行版发布的最新内核更新。如果无法立即进行更新，临时解决方法包括将“kernel.yama.ptrace_scope”的值提高到 2。

Qualys表示：“对于在暴露期间允许不受信任的本地用户访问的主机，应将SSH主机密钥和本地缓存的凭据视为可能已泄露。轮换主机密钥，并审查任何存储在set-uid进程内存中的管理资料。”

此次开发源于一个名为PinTheft 的本地权限提升漏洞的概念验证 (PoC) 的发布，该漏洞允许本地攻击者在 Arch Linux 系统上获取 root 权限。该漏洞利用需要目标系统加载可靠数据报套接字 (RDS) 模块、启用 io_ring、拥有可读的 SUID-root 二进制文件，以及包含的有效载荷支持 x86_64 架构。

“该漏洞存在于 RDS 零拷贝发送路径中。rds_message_zcopy_from_user() 函数会逐个锁定用户页面。如果后续页面发生错误，错误路径会丢弃已锁定的页面，而后续的 RDS 消息清理操作会再次丢弃这些页面，因为在零拷贝通知器清除后，分散列表条目和条目计数仍然有效。每次零拷贝发送失败都可能导致第一个页面的一个引用被窃取。”