В ядрото на Linux е открита сериозна уязвимост, предизвикана от само един излишен символ в кода

Изследователи откриха сериозна уязвимост в ядрото на Linux, която позволява на потребители да повишат правата си за достъп до ниво root, като се възползват от уязвимост, предизвикана от само един грешен символ в кода на ядрото. Уязвимостта, обозначена като CVE-2026-23111 се намира в nf_tables – подсистема на ядрото на Linux, която осигурява възможности за филтриране на пакети. Тя се използва за управление на правилата на защитната стена и замества по-стари подсистеми, като iptables, ip6tables, arptables и ebtables.

Наличието на един погрешно въведен възклицателен знак в кода, реализиращ nf_tables довежда до появата на уязвимост от типа use-after-free, която поврежда паметта, като поставя злонамерен код на адреси в паметта, които не са били освободени по подходящ начин от предишното съдържание. CVE-2026-23111 може да бъде използвана от потребител или процес без привилегии за повишаване на правата за достъп в системата до ниво root.

Уязвимостта работи чрез нарушаване на процеса на премахване на вердиктите – определения в рамките на фреймуърка nf_tables, които решават дали пакетът отговаря на правило, изискващо изпълнението на определено действие. В този процес могат да се използват т.нар. catchall елементи, които действат като заместващ символ, ако търсенето не намери съвпадения с нито един друг елемент в набора. Когато картата с вердиктите се изтрива от паметта, catchall елементите се деактивират, а броячът на връзките във веригата се намалява. При възникване на грешки изтриването може да бъде отменено, а броячът – увеличен. Уязвимостта CVE-2026-23111 позволява промяна на този процес. В резултат на това експлойтът може да намалява стойността на променливата произволен брой пъти, а след това да изтрие и освободи веригата, когато някои обекти все още сочат към нея.

В Linux „вердиктът“ е програмна или конфигурационна инструкция, която определя какво се случва с даден елемент от данни (като мрежов пакет или файл) след изпълнението на конкретно правило или операция.

Откритата уязвимост беше поправена в ядрото през февруари. Компанията FuzzingLabs демонстрира експлойта през април. Компанията Exodus Intelligence, която откри грешката, включи своя собствен експлойт в публикация в понеделник. Той работеше на Debian и Ubuntu. CVE-2026-23111 e само една от трите сериозни уязвимости за повишаване на привилегии, открити в Linux през последните седмици. Тези уязвимости са особено опасни, тъй като в комбинация с отделен експлойт могат да бъдат използвани за заобикаляне на вградените в операционната система средства за защита.