Bad Epoll: das uso-after-free-Versagen, das root Privilegien auf Linux, Android und Browsern skalieren könnte

Der neueste Linux-Kernel-Versagen nicknamed Bad Epoll (CVE-2026-46242) reremember, dass kritische Code-Privileg-Fehler jederzeit erscheinen und extrem gefährlich sein können: es ermöglicht einem normalen Benutzer ohne Privileg, auf Linux-Desktop-Maschinen, Servern und Android zu root zu klettern, und es gibt bereits ein Patch zur Verfügung.

Bad Epoll ist im Subsystem versteckt Epoll, Infrastruktur mit Servern, Netzwerkdiensten und Browsern, um viele gleichzeitige Verbindungen zu überwachen. Epoll ist kein expendable Feature, also gibt es kein "Lever", um es abzuschalten und Risiko zu vermeiden: Der einzige Ausweg ist, den Kernel zu parken. Der Ausfall ist eine klassische Kategorie gebrauchsfrei: zwei Möglichkeiten des Kernels versuchen, gleichzeitig auf demselben Objekt zu veröffentlichen und zu schreiben, was es erlaubt, das Gedächtnis des Kernels zu verfälschen und mit Ausbeutungstechniken Privilegien zu erhöhen.

Was diese Verwundbarkeit besonders für Techniker interessant macht, ist ihre Karriere Natur: Das Fenster, in dem die Kollision auftritt, ist mikroskopisch, in der Reihenfolge einiger Anweisungen. Das bedeutet, dass ein zufälliger Versuch selten funktioniert. Forscher Jaeyoung Chung, der den Fehler entdeckte und eine funktionelle Explosion baute, beschreibt, wie er dieses Fenster erweiterte und Reattempts hinzugefügt, ohne Kollisionen zu verursachen, erfolgreich kletterte um 99% in seinen Tests.

Es gibt andere Faktoren, die das reale Risiko erhöhen: nach Chung, Bad Epoll kann aus der Chrome Renderer Sandbox aktiviert werden, eine Umgebung, die in der Regel neutralisiert viele Kernelfehler, und auch betrifft Android, die nicht immer mit Privilegien Fehler passiert. Glücklicherweise gibt es bisher keine öffentlichen Beweise für die Ausbeutung in der Natur: Es ist nicht im Katalog der Schwachstellen enthalten, die von bekannten Akteuren ausgenutzt werden, aber dies reduziert nicht die Dringlichkeit des Patches.

Die Korrektur kam stromaufwärts und wird von der Verpflichtung identifiziert a6dc643c6931. Die praktische Empfehlung ist, dieses Engagement anzuwenden oder den Backport zu installieren, der Ihre Distribution veröffentlicht, sobald es verfügbar ist. Beachten Sie, dass die Zweige des 6.4 und des folgenden Kernels betroffen sind, es sei denn, sie haben diese Korrektur bereits erhalten; die ältere 6.1 Serie und daher einige Telefone auf Basis von 6.1 sind nicht betroffen, da die verletzliche Änderung in 6.4.

Aus defensiver Sicht, nicht nur auf Detektoren in der Ausführungszeit vertrauen als KASAN sicher zu sein: der korrupte Speicher, den Bad Epoll erzeugt, passiert oft, ohne KASAN zu aktivieren, sobald der vorherige verwandte Ausfall behoben wurde, so dass das Fehlen von Warnungen kein Risiko bedeutet. Die KASAN-Dokumentation kann Ihnen dabei helfen, Ihre Grenzen zu verstehen: KASAN Dokumentation.

Für Manager und Sicherheitsbeamte ist die Liste der empfohlenen Aktionen klar: priorisieren Sie die Anwendung des Patches auf exponierten Servern und auf Container-Bildern, koordinieren Sie mit Android-Lieferanten und Herstellern Patches auf Geräten zu erhalten, und aktualisieren Sie Browser und Sandbox, die Liefervektoren sein können. Der CISA-Katalog über ausgebeutete Schwachstellen ist ein guter Bezugspunkt für die allgemeine Priorität: CISA Bekannte ausgeschöpfte Schwachstellen.

Bad Epoll ist auch als Fallstudie zum Beitrag der künstlichen Intelligenz zur Softwaresicherheit nützlich. Ein fortgeschrittenes Modell von Anthropic, Mythos, hatte erkannt und geholfen, eine Schwester Schwachstelle in dem gleichen Bereich des Codes zu beheben, aber ignoriert es. Chung selbst schlägt zwei plausible Gründe vor: Das Zeitfenster ist so schmal, dass es nur aus dem Code nur schwer zu visualisieren ist, und der Fehler erzeugt wenig Beweise in der Laufzeit nach dem ersten Patch, was seine Identifikation erschwert. Die praktische Lehre ist, dass IA die Suche nach Fehlern bereits beschleunigen kann, aber sie ersetzt keine menschliche Inspektion und experimentelle Überprüfung - insbesondere für subtile Karrierebedingungen.

Schließlich ist es für Antwortgeräte und QA von entscheidender Bedeutung, reproduzierbare Tests und Aushärtungsübungen durchzuführen: Aktualisierungen in Umgebungen zu validieren, die Lastverhalten wiedergeben, Gebäude mit Sanitizern implementieren, wo möglich, und die Ausführung von unzuverlässigen Code in Umgebungen, die empfindliche Syscalls erreichen können, einzuschränken. Die Rennfehler sind immer noch einer der schwierigsten zu finden und richtig zu korrigieren: Bad Epoll zeigt, dass auch ein anfänglicher Patch kurz bleiben kann und dass der menschliche Nachweis weiterhin entschlossen ist, die Lücke zwischen "gefunden" und "korrigiert" zu schließen.