ШІ допоміг розробити експлойт для підвищення привілеїв у ядрі Linux

Новий експлойт для ядра Linux з використанням ШІ

STAR Labs опублікувала експлойт для ядра Linux, який перетворює звичайного локального користувача на root на цільовій збірці CentOS Stream 9. Вразливість, відстежувана як CVE-2026-53264 (оцінка CVSS: 7.8), є умовою race condition типу use-after-free у підсистемі керування мережевим трафіком ядра.

Дослідник Лі Цзя Цзе зазначив, що штучний інтелект (ШІ) допоміг йому знайти помилку та прискорити розробку експлойту. Це підвищення локальних привілеїв, а не віддалене виконання коду, тому зловмиснику потрібен початковий доступ до машини.

Роль ШІ у розробці

Лі Цзя Цзе у своєму технічному описі вказав, що ШІ сприяв виявленню вразливості, створенню підтвердження концепції Kernel Address Sanitizer (KASAN) та оптимізації вікна race condition. Однак, без інформації про модель, промпти, сервіс або записи взаємодії, важко оцінити можливості ШІ або відокремити внесок системи від керівництва та суджень Лі. Дослідник також зауважив, що ШІ все ще має "багато сліпих зон і прогалин у здатності до міркування", і людське судження залишалося необхідним протягом усієї роботи.

Деталі вразливості та експлойту

Вразливість полягає в обробці життєвого циклу дій керування трафіком Linux. Одночасні операції RTM_NEWTFILTER та RTM_DELTFILTER можуть призвести до того, що один потік читає об'єкт дії після того, як інший потік його звільнив. Продемонстрований експлойт вимагає непривілейованих просторів імен користувача, опцій ядра CONFIG_NET_ACT_GACT та CONFIG_NET_CLS_FLOWER, а також специфічного для ядра ланцюжка ROP (return-oriented programming), що містить жорстко закодовані зміщення.

Експлойт створює власні простори імен користувача та мережі, надаючи йому CAP_NET_ADMIN у межах простору імен без необхідності прав адміністратора хоста. Він досягає вразливого шляху через clsact qdisc та flower filter. Операції timerfd та epoll розширюють вікно race condition, тоді як ключові виділення корисного навантаження повертають звільнений об'єкт. Потім ланцюжок ROP перезаписує core_pattern. Експлойт розміщує свою копію в memfd і навмисно аварійно завершує дочірній процес, змушуючи Linux запускати двійковий файл, підтримуваний memfd, як обробник core-dump з правами root в початковому просторі імен.

Статус виправлення та ризики

Виправлення було внесено 1 червня 2026 року і з тих пір було перенесено на кілька стабільних гілок ядра. Виправлені випуски включають 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 та 7.0.13, а основне виправлення увійшло до 7.1-rc7. Користувачам Linux слід встановити ядро дистрибутива, що містить виправлення, а не покладатися лише на номер версії upstream.

На 28 липня 2026 року The Hacker News не знайшов запису про цю вразливість у каталозі відомих експлуатованих вразливостей CISA та офіційних повідомлень про експлуатацію в дикій природі. Хоча експлойт успішно спрацював у всіх 10 тестових запусках Лі (від 9 до 111 секунд на ноутбуці з CentOS Stream 9), ці показники надійності не були незалежно відтворені. Фіксовані зміщення гаджетів експлойту означають, що його потрібно перезбирати для інших пакетів ядра, і він може бути непридатним для деяких новіших збірок. Практичний ризик є вужчим, ніж може здатися з ярлика "загальний root-експлойт Linux", але публічний код експлойту підвищує терміновість для сумісних систем, які залишаються без патчів.

Статус дистрибутивів на 28 липня був нерівномірним: Debian перераховує виправлені ядра для підтримуваних стабільних випусків, Ubuntu все ще позначає кілька підтримуваних пакетів ядра як вразливі, а SUSE вказує проблему як очікувану в кількох продуктах.