Četiri Linux kernel propusta dobila javno dostupan exploit kod
Istraživač Asim Manizada objavio je funkcionalan exploit kod za četiri propusta u Linux kernelu — DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) i DiagSpill (CVE-2026-74469) — koji lokalnom korisniku mogu omogućiti root pristup. Održavaoci kernela već su objavili ispravke, a prva stabilna izdanja sa kompletnim skupom zakrpa su 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 i 7.2.4.
Eksploatacioni kod objavljen je 18. septembra, nakon usklađenog perioda sa Linux distribucijama kako bi popravke mogle prvo da budu dostupne. Nema prijavljenih slučajeva zloupotrebe ovih ranjivosti u stvarnim napadima. Ipak, javna dostupnost koda povećava rizik za sisteme koji koriste starije kernele, naročito na višekorisničkim serverima gde napadač već može imati nalog sa ograničenim ovlašćenjima.
Koji sistemi i uslovi su važni
DirtyAH6, TUNderflow i PPPoEject dostupni su običnom korisniku kada su omogućeni neprivilegovani user namespace prostori imena. Ta Linux funkcija korisniku dozvoljava da u izolovanom okruženju nastupa kao root, čime može steći mrežna ovlašćenja potrebna za navedene exploite. Mnoge distribucije ovu mogućnost podrazumevano uključuju.
DiagSpill je drugačiji: ne zahteva user namespace niti posebne privilegije, pod uslovom da je dostupan SCTP mrežni modul. DirtyAH6 i DiagSpill mogu se u uskim scenarijima aktivirati i preko mreže, uglavnom radi obaranja sistema. DirtyAH6 pogađa host koji rutira IPv6 i dodaje IPsec Authentication Header u transportnom režimu, dok DiagSpill zahteva SCTP opcije koje podrazumevano nisu uključene.
Greške u rukovanju memorijom
Sva četiri propusta pripadaju kategoriji grešaka bezbednosti memorije u mrežnom kodu kernela. DirtyAH6 koristi neprovereno polje IPv6 rutirajućeg zaglavlja, što može izazvati upis van granica bafera. TUNderflow nastaje kada se u TUN/TAP uređajima ista vrednost koristi kao rezervisani prostor i veličina, pa prevelika vrednost iz Open vSwitch-a može izazvati prekoračenje pri računanju.
PPPoEject je use-after-free propust: kod zadržava pokazivač na mrežni bafer tokom poziva rutine koja taj bafer može osloboditi ili premestiti. DiagSpill koristi 16-bitni brojač krajnjih tačaka SCTP veze; pri 65.536. krajnjoj tački brojač se vraća na nulu, a kod potom može kopirati približno 8 MiB podataka van predviđenog bafera.
Manizada je propuste pronašao procesom potpomognutim AI alatima za mapiranje načina na koji kernel obrađuje i raspoređuje memoriju. Širi operativni kontekst daju i Linux-rutkiti i mrežne bezbednosne pretnje koji pokazuju zašto upravljanje kernel rizicima zahteva kontinuirano praćenje zakrpa i izloženih servisa.
Šta administratori treba da urade
Organizacije ne treba da porede samo broj glavnog Linux kernela, jer Debian, Ubuntu, Red Hat i SUSE često koriste sopstvene oznake verzija i prenose bezbednosne ispravke prema vlastitom rasporedu. Potrebno je proveriti bezbednosno obaveštenje konkretne distribucije i potvrditi da ažuriranje obuhvata sve četiri CVE oznake.
Ako hitno ažuriranje nije moguće, privremena mera je isključivanje neprivilegovanih user namespace prostora imena, čime se zatvara uobičajeni put do DirtyAH6, TUNderflow i PPPoEject. Mogu se isključiti i nekorišćene funkcije AH6, TUN/TAP, PPPoE i SCTP, ali preporučena mera ostaje instaliranje zakrpa, jer isključivanje funkcija ne mora ukloniti sve moguće puteve zloupotrebe. Praktičan poslovni zaključak je da se ažuriranje kernela tretira kao prioritetna operativna promena, uz proveru uticaja na mrežne servise i kontejnere.