Quando un controllo dei permessi Linux si trasforma in una fuga di segreti

Un problema di sicurezza nascosto nel kernel Linux sta attirando l’attenzione per un motivo che dovrebbe preoccupare chiunque gestisca host condivisi: è locale, non remoto, ma può comunque oltrepassare un confine che normalmente protegge i file più sensibili della macchina. Il problema legato a CVE-2026-46333, soprannominato anche ssh-keysign-pwn, si trova nella logica di controllo dei permessi ptrace del kernel e può consentire a un utente locale senza privilegi di accedere a materiale riservato solo a root sui sistemi interessati.

Questo è importante perché i controlli di fiducia del kernel non sono solo un altro dettaglio software. Sono la linea che decide se un processo può ispezionarne un altro e se i dati privilegiati restano privilegiati. Quando quella linea si piega, il primo impatto è spesso la divulgazione; il rischio più ampio è che la divulgazione diventi un trampolino verso l’escalation.

Fatti rapidi

• CVE-2026-46333 è collegata alla logica di verifica dei permessi ptrace del kernel Linux.
• Qualys afferma che la falla esisteva già da Linux mainline v4.10-rc1 nel 2016.
• L’impatto pratico può includere l’esposizione di segreti di proprietà di root, come chiavi host SSH e hash di /etc/shadow.
• Un percorso di exploit utilizza l’helper OpenSSH ssh-keysign con setuid-root, dove presente e abilitato.
• Le indicazioni dei vendor puntano prima agli aggiornamenti del kernel, con l’irrigidimento di ptrace solo come mitigazione temporanea.

Perché questo bug è più di un titolo su “root”

Il problema centrale non è SSH in sé, ma il percorso decisionale __ptrace_may_access() del kernel Linux. Quel codice determina se un processo può ispezionarne un altro, e il bug sembra riguardare un caso in cui i controlli del kernel non si comportano in modo sicuro in ogni scenario di teardown o dumpability. In parole semplici: un account locale potrebbe riuscire a conoscere cose che non dovrebbe mai vedere.

Questo può essere grave dal punto di vista operativo anche prima che entri in gioco qualsiasi esecuzione di comandi. Se un attaccante riesce a leggere /etc/shadow, il pericolo è la rottura offline degli hash delle password. Se riesce ad accedere alle chiavi private host SSH, il rischio si sposta sulle relazioni di fiducia tra sistemi, soprattutto quando si usa autenticazione basata sull’host o altri flussi di lavoro che dipendono dalle chiavi.

C’è anche un importante percorso condizionale. L’helper OpenSSH ssh-keysign è disabilitato per impostazione predefinita ed è rilevante solo in certi ambienti, ma dove esiste ed è abilitata l’autenticazione basata sull’host, può ampliare il raggio d’azione di un bug del kernel. Ecco perché “solo locale” non deve mai essere scambiato per “poco impatto”.

Al momento della pubblicazione, l’ambito completo dei sistemi interessati dipende ancora da backport del vendor, build del kernel e configurazione locale. Le informazioni disponibili supportano un’analisi del rischio, non l’affermazione universale che ogni host Linux sia esposto allo stesso modo.

Per i difensori, le priorità immediate sono familiari ma non negoziabili: installare i pacchetti del kernel corretti, ridurre gli helper setuid-root non necessari e considerare le restrizioni ptrace come un palliativo, non come una cura. Impostazioni come kernel.yama.ptrace_scope possono ridurre l’esposizione, ma possono anche interferire con strumenti di debug e tracing, quindi è meglio usarle con cautela e con un piano di rollback.

Conclusione

La lezione qui non è che Linux sia intrinsecamente fragile; è che il più piccolo errore nei permessi nel kernel può rimodellare l’intera postura di sicurezza dell’host. I bug locali non hanno bisogno di raggiungibilità Internet per essere pericolosi. Sui sistemi moderni, un singolo controllo difettoso può bastare per trasformare un accesso ordinario in visibilità privilegiata, e la visibilità privilegiata in un vero incidente.

WIKICROOK

• ptrace: Un meccanismo Linux che consente a un processo di osservare o controllarne un altro, di solito per il debug.
• setuid: Un bit di autorizzazione Unix che consente a un eseguibile di essere eseguito con i privilegi del proprietario del file, spesso root.
• /etc/shadow: Un file protetto che memorizza i dati hash delle password locali su sistemi Unix-like.
• CVE: Un identificatore pubblico usato per tracciare una vulnerabilità specifica tra vendor e advisory.
• kernel.yama.ptrace_scope: Un’impostazione Linux che limita il comportamento di ptrace per ridurre la superficie d’attacco locale.