CVE-2026-46242: Bad Epoll dod root jebkuram vietējam Linux un Android lietotājam

Linux kernelī atklāts ievainojamību pāris, no kura bīstamākais — CVE-2026-46242, saukts par “Bad Epoll” — ļauj jebkuram vietējam, neprivileģētam lietotājam iegūt pilnas root tiesības. Publiski pieejamais proof-of-concept exploit uz 6.12 kodola ziņo par 99% veiksmes rādītāju vidējās klases aparatūrā. Skārtas Linux 6.4 un jaunākas versijas, kā arī Android ierīces ar 6.6 kodolu.

Ievainojamību atklāja pētnieks Jaeyoung Chung. Privātais ziņojums tika iesniegts 2026. gada 17. februārī, labojums kodolā nonāca 24. aprīlī, bet publiskā atklāšana sekoja 30. maijā — piecas nedēļas pēc ielāpa izlaišanas. Dokumentētu uzbrukumu savvaļā nav, bet publiski pieejams exploit ar 99% uzticamību pazīstamas arhitektūras ierīcēs maina apdraudējuma situāciju.

Kā sacensības stāvoklis noved pie root

Epoll ir standarta Linux mehānisms — serveru ietvari, tīkla pakalpojumi un pārlūki to izmanto, lai viena programma varētu efektīvi sekot tūkstošiem failu vai savienojumu vienlaikus. To nevar izslēgt ar kodola parametriem, un tas darbojas gandrīz katrā Linux serverī.

Kļūda slēpjas ep_remove() tīrīšanas ceļā. Kad divi kodola ceļi vienlaikus mēģina dzēst to pašu epoll saistījumu, viens atbrīvo atmiņu, kamēr otrs joprojām raksta tajā. Sacensības logs ir aptuveni seši CPU instrukciju plats.

“Viens kodola ceļš dzēš faila epoll saistījumu un turpina to lietot, kamēr vienlaicīgs faila noslēgums, redzot izdzēsto saistījumu, atbrīvo apakšējo objektu.” — TuxCare techniskā analīze par Bad Epoll

Uzbrucējs var izmantot šo 8 baitu use-after-free rakstīšanu, lai ar cross-cache uzbrukumu manipulētu ar struct file objektu. No turienes ceļš uz patvaļīgu kodola atmiņas nolasīšanu un vadības plūsmas nolaupīšanu ir taisns — rezultāts ir pilna root čaula.

Māsas kļūda un nepilnīgais pirmais ielāps

Kā TuxCare atzīmē savā analīzē, to pašu 2023. gada epoll koda izmaiņu ieviesa arī māsas kļūdu CVE-2026-43074, ko atrada un laboja agrāk šajā gadā. Taču māsas ielāps nebija pilnīgs — tas neaizver Bad Epoll sacensības stāvokli. Sistēmas, kuras saņēma tikai pirmo ielāpu, joprojām ir ievainojamas.

Exploit ar 99% uzticamību

Publiski pieejamais PoC uz 6.12 kodola — tas pats pamats, ko izmanto AlmaLinux 10 — ziņo par 99% veiksmes rādītāju. SecurityWeek norāda, ka šis skaitlis nozīmē droši atkārtojamu root eskalāciju vidējās klases aparatūrā bez papildu privilēģijām vai specifiskiem sākuma apstākļiem.

Tas padara Bad Epoll īpaši bīstamu koplietoto serveru vidē: hostinga platformās un virtualizētā infrastruktūrā, kur vairāki lietotāji dala vienu kodolu. Pietiek ar vietēju konta piekļuvi — SSH vai web čaula — lai sāktu privilēģiju eskalāciju.

Android ierīces arī skārtas

Papildus Linux serveriem un darba stacijām The Hacker News norāda, ka Android ierīces ar 6.6 vai jaunāku kodolu arī ir ievainojamas. Uzbrukuma vektors šeit ir citādāks — ļaunprātīga lietotne ar koda izpildes iespēju var izmantot to pašu sacensības stāvokli un iegūt sistēmas privilēģijas. Android atjauninājumu grafiks atkarīgs no ierīces ražotāja.

AI koda audits to palaiža garām

Pēc publiskās atklāšanas vairāki pētnieki pārbaudīja, vai automatizēti AI koda auditu rīki atklātu šo kļūdu. Testētie modeļi konsekventi palaida garām sacensības stāvokli pat tad, kad tika tieši norādīts uz attiecīgo koda bloku. Kļūda kodolā pastāvēja trīs gadus — kopš 2023. gada izmaiņas. Manuālā analīze to atrada tur, kur automatizētā skenēšana nekonstatēja.

Ko darīt

Labošana ir vienīgā iespēja — epoll nav konfigurējams ar standarta parametriem. Labojums ir pieejams kopš 24. aprīļa; Ubuntu, Red Hat un Debian izlaida backportētos ielāpus pirms publiskās atklāšanas. Serveru administrātori var pārbaudīt kodola versiju ar uname -r un salīdzināt ar distribūcijas drošības biļetenu. In-the-wild uzbrukumu nav dokumentēts, bet publiski pieejams 99% uzticamības exploit nozīmē, ka ielāps jāuzstāda nekavējoties.

Avoti

• The Hacker News — New “Bad Epoll” Linux Kernel Flaw Lets Unprivileged Users Gain Root, Hits Android
• SecurityWeek — Proof-of-Concept Exploit Released for Linux ‘Bad Epoll’ Root Access Vulnerability
• TuxCare — Understanding Bad Epoll, a Use After Free That Roots Linux and Android
• Threat-Modeling.com — CVE-2026-46242 ‘Bad Epoll’: Linux Kernel 0-Day Local Privilege Escalation to Root
• CyberSecurityNews — New “Bad Epoll” 0-Day Vulnerability Allows Root Access on Linux Servers and Android Devices