Vulnerabilità da 9 anni kernel Linux: rischio di accesso non autorizzato

Una grave vulnerabilità nel kernel Linux può permettere l'accesso non autorizzato al sistema. La vulnerabilità, nota come CVE-2026-46333, può essere sfruttata per ottenere l'accesso root o le credenziali private

Per nove anni, un bug nel kernel Linux ha permesso di trasformare un semplice accesso locale in un controllo completo del sistema. Il problema riguarda le installazioni predefinite delle distribuzioni più diffuse ed è già stato sfruttato, quindi gli amministratori dovranno verificare rapidamente la presenza di aggiornamenti e potenziali vulnerabilità.

La vulnerabilità è stata identificata con il codice CVE-2026-46333 e ha ricevuto un punteggio CVSS di 5,5. Il team di Qualys ha attribuito il problema a una gestione impropria dei privilegi nella funzione __ptrace_may_access(). Il bug è comparso nel novembre 2016 ed è rimasto a lungo non rilevato.

Secondo Qualys, un utente locale senza privilegi elevati potrebbe accedere a file sensibili ed eseguire comandi arbitrari con privilegi di root. I sistemi interessati includono installazioni standard di Debian, Fedora e Ubuntu. La vulnerabilità è nota anche come ssh-keysign-pwn.

Said Abbasi di Qualys ha spiegato che il meccanismo scoperto è affidabile e permette di trasformare una normale shell locale in un percorso per ottenere l’accesso root o le credenziali private. Un attacco riuscito potrebbe rivelare il contenuto di /etc/shhadow, le chiavi SSH private dell’host da /etc/ssh/_key e consentire anche l’esecuzione di comandi tramite script di attacco che prendono di mira chage, ssh-keysign, pkexec e accounts-daemon.

Le informazioni sul problema sono emerse poco dopo la pubblicazione di un exploit proof-of-concept funzionante e di una modifica al codice del kernel accessibile pubblicamente. Il CVE-2026-46333 è un’altra grave vulnerabilità di Linux scoperta nell’ultimo mese, dopo Copy Fail, Dirty Frag e Fragnesia.

Qualys consiglia di installare gli aggiornamenti del kernel più recenti forniti dai distributori. Se non è possibile aggiornare rapidamente, aumentare il valore di kernel.yama.ptrace_scope a 2 potrebbe essere una soluzione temporanea.

Sui server in cui utenti locali non attendibili operavano durante il periodo in cui la vulnerabilità era presente, è opportuno considerare le chiavi SSH dell’host e le credenziali memorizzate localmente come potenzialmente compromesse, quindi sostituire le chiavi e verificare la presenza di dati amministrativi che potrebbero essere stati memorizzati nella memoria dei processi set-uid.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response