Chyba v linuxovom jadre: CVE-2026-43499 - CVT FI - Blogy

Chyba GhostLock je prítomná v implementácii real-time mutexov, ktorá je bežnou súčasťou distribučných jadier (CONFIG_RT_MUTEXES) a nevyžaduje špeciálne práva. Je potrebné vyčkať na vydanie opravenej verzie jadra vo vašej distribúcii. Chyba je v kóde jadra prítomná od roku 2011 a v jadre bola opravená v apríli 2026.

Na chybu nie je známa jednoduchá mitigácia. Kompilačné voľby jadra CONFIG_RANDOMIZE_KSTACK_OFFSET a CONFIG_STATIC_USERMODE_HELPER by údajne mali sťažovať zneužitie.

Pri spúšťaní cudzieho kódu z internetu (PoC, exploit) vyzývame na opatrnosť. V repozitári odkazovanom na začiatku blogpostu je PoC funkčný a spôsobí DoS. Exploit je však cielený na Android.

Prehľad stavu opráv vo vybraných distribúciách (so stavom v momente písania príspevku):

• Debian: aktuálne vydanie Bookworm/12 (v repozitári security), Trixie/13 a testing (Forky) sú zaplátané,
• Ubuntu: 26 LTS je zaplátané, na 24 LTS sa pracuje, ale zatiaľ len na balíčku linux, nie na balíčkoch linux-hwe-X.Y,
• RHEL: nemal by byť dotknutý, ale zrejme to tak nie je, viď nižšie,
• AlmaLinux: zatiaľ nie sú známe informácie, ale PoC podľa našich testov funguje.

Pri voľbe mediálneho názvu diery však buď nebol braný ohľad na existujúce názvy alebo došlo k ich súbežnému použitiu ešte pred zverejnením, takže došlo ku kolízii s rovnomennou dierou vo Windows.

Odporúčame vám kontrolu vami spravovaných systémov (zvlášť tých, kam majú prístup neprivilegovaní používatelia) a aplikovanie nových verzií jadra akonáhle to bude možné. V prípade otázok sa neváhajte obrátiť na unix@fi.