Siga ZDNET: Adicione-nos como fonte preferencial no Google.
Principais conclusões da ZDNET
- Outro dia, outro bug do Linux.
- Há um patch agora.
- No entanto, ainda não está disponível na maioria das distros.
A última falha do kernel do Linux não tem um nome sofisticado; é apenas chamado de “ssh-keysign-pwn.” É a quarta falha de segurança native de alto perfil que atinge o Linux em apenas algumas semanas. Esta permite que usuários comuns leiam silenciosamente alguns dos arquivos mais confidenciais de um sistema, incluindo chaves privadas de host Safe Shell (SSH) e o arquivo de senha shadow.
A vulnerabilidade recebe o apelido “ssh‑keysign‑pwn” de um dos principais caminhos de exploração: abusar do binário auxiliar ssh-keysign do OpenSSH. Keysign -keysign é usado para autenticação baseada em host e normalmente executa setuid root, abrindo as chaves de host SSH do sistema antes de eliminar privilégios para concluir seu trabalho.
Além disso: a terceira grande falha do kernel Linux em duas semanas foi encontrada – graças à IA
Exatamente o que precisávamos. Outro bug irritante e potencialmente perigoso do Linux.
A falha explicada
Pesquisadores de segurança na empresa de segurança Qualis divulgado CVE‑2026‑46333uma vulnerabilidade de divulgação de informações na verificação de acesso ptrace do kernel Linux. A Qualys afirma que existe de uma forma ou de outra há cerca de seis anos.
A falha está na lógica __ptrace_may_access() que é executada quando os processos são encerrados. Sob certas condições, o kernel ignora as verificações normais de “despejo” quando um processo descarta seu mapeamento de memória. Isso abre uma breve janela para outro processo roubar seus descritores de arquivo.
Embora o ssh‑keysign‑pwn não forneça um shell raiz completo por si só, a capacidade de exfiltrar chaves de host e hashes de senha é um poderoso alicerce para movimento lateral e persistência de longo prazo. Além disso, com chaves de host SSH roubadas, os invasores podem se passar por máquinas em relações de confiança baseadas em host. Com acesso ao diretório de senhas shadow, eles podem tentar quebrar senhas offline e reutilizar essas credenciais em vários sistemas.
Também: O Linux está recebendo um alerta de segurança – por que period inevitável, e não estou preocupado
Exatamente o que sempre precisávamos. Um hack persistente que pode continuar roubando chaves e senhas.
Em seu patchLinus Torvalds explicou que o problema existe porque “Temos um caso especial estranho: ptrace_may_access() usa ‘dumpable’ para verificar várias outras coisas de forma totalmente independente do MM (normalmente usando explicitamente sinalizadores como PTRACE_MODE_READ_FSCREDS). Incluindo threads que não possuem mais uma VM (e talvez nunca tenham, como a maioria dos threads de kernel). Não é para isso que esse sinalizador foi projetado, mas é o que é. “
O que isso significa para você e para mim é que, ao combinar esse erro lógico com a chamada de sistema pidfd_getfd(2), usuários não privilegiados podem acessar processos privilegiados que estão no meio do encerramento, capturar seus descritores de arquivo ainda abertos e, em seguida, ler arquivos que normalmente seriam acessíveis apenas ao root.
Isso não seria grande coisa, exceto que Qualys demonstrou através de uma exploração de prova de conceito (PoC) que o bug pode ser acionado de forma confiável na prática, não apenas na teoria. O mantenedor estável do Linux, Greg Kroah-Hartman, já lançou atualizações em vários ramos suportados, incluindo novos lançamentos como 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 e 5.10.256, todos com a correção ssh-keysign-pwn.
O que você precisa fazer
Você desejará migrar para um desses kernels o mais rápido possível. Esta falha afeta todos os kernels Linux lançados antes de 14 de maio de 2026. Caso contrário, como um membro cansado do ManjaroLinux equipe disse: “Não ligue o seu PC se não precisar dele. Tranque-se e olhe por cima do ombro.” Bem, essa é certamente uma maneira de lidar com isso!
Além disso: Como aprender Claude Code gratuitamente com os cursos de IA da Anthropic
Até que os kernels corrigidos estejam amplamente disponíveis, as equipes de segurança têm algumas opções de mitigação, mas cada uma delas traz compensações.
Uma solução rápida e suja é apertar o Linux Yama ptrace restrições configurando-o com o comando:
sysctl kernel.yama.ptrace_scope=2.
Isso desativa o ptrace para usuários não-root e bloqueia a exploração, mas também interrompe muitos fluxos de trabalho de depuração e monitoramento. Isso não é splendid para fluxos de trabalho de desenvolvedores.
Você também pode reduzir a exposição desabilitando a autenticação SSH baseada em host e o auxiliar ssh-keysign inteiramente em sistemas onde não são necessários. Isso elimina o principal caminho para o roubo de chaves de host. No entanto, isso também interrompe o SSH, o que para muitos sistemas Linux é um fracasso.
Meu? Estarei monitorando meus sistemas e esperando que as distros que uso todos os dias – Linux Mint, Ubuntu, AlmaLinux, openSUSE e Rocky Linux – sejam corrigidas até o remaining do fim de semana.
