Propust u srcu Linuxa daje root svima
Bezbednosni istraživač Jaeyoung Chung našao je propust u samom srcu Linux kernela — u osnovi na koju se oslanja većina modula. Nosi oznaku CVE-2026-46242 i ime „Bad Epoll”. Pogađa epoll, mehanizam kojim Linux kernel istovremeno prati hiljade mrežnih veza — recimo, sve korisnike koji se u istom trenutku kače na neki sajt. Koriste ga veb serveri, baze, pregledači, klaud servisi i svaki Android telefon. Kod mnogih ranjivosti na Linuxu privremeno rešenje je da se pogođena funkcija isključi dok ne stigne zakrpa. Ovde to neće moći: bez epolla bi pola sistema stalo, pa je zakrpa jedina odbrana. Propust omogućava da običan lokalni korisnik, bez posebnih prava, postane root — apsolutni gospodar mašine. Mehanizam je „use-after-free”: kernel nastavi da koristi deo memorije koji je već oslobodio. Napadač u taj oslobođeni deo memorije podmeće instrukcije, koje kernel preuzima kao svoje — i time dobija kontrolu. Kvaka je u tajmingu. Na višejezgarnom procesoru dva dela kernela rade u isto vreme. Ako se poklope u istoj tački, jedan oslobađa objekat dok ga drugi još koristi. Ta prilika je otvorena u svega šest mašinskih instrukcija, i skoro je nemoguće pogoditi je. Ipak, Chung je napravio exploit koji uspeva u oko 99 odsto pokušaja. Za sada nema dokaza o zloupotrebi; postoji samo dokazni kod (proof-of-concept), napravljen za Google-ov kernelCTF — program koji plaća istraživače da ovakve rupe nađu i prijave, a ne da ih iskorišćavaju.
Najgori propusti najčešće nisu u nekom retkom, egzotičnom modulu — već u onom koji se svakodnevno koristi. Epoll je najefikasniji način da jedna mašina opsluži gomilu veza odjednom i zato ga svi koriste. A kad se propust pojavi u mehanizmu kojem se veruje bez pitanja, nema zaobilaženja već problem mora da se sanira zakrpom. A zakrpiti kernel ne znači kliknuti na „Ažuriraj”. To znači prolaženje kroz stotine servera i uređaja, zakazane prekide, restartovanje i molitva za svaki servis da se podigne u operativno stanje. Ko ima flotu Linux mašina zna za muku: ovaj tip problema traži da se diraju serveri koji se ne diraju. Donekle je uteha da iskorišćavanje ove ranjivosti traži lokalni pristup i da još nema traga zloupotrebi. Ali propust je po težini iz iste porodice kao raniji Bad Binder i Bad IO_uring — a oni su ubrzo završili kao alat za preuzimanje Android telefona. Od objavljenog exploita do prve stvarne upotrebe obično ne prođe mnogo vremena.
- Primeni kernel zakrpe čim ih tvoja distribucija i proizvođač telefona objave — zvanična ispravka je već u Linux kodu, a druge odbrane praktično nema
- Popiši šta uopšte imaš: serveri, kontejneri, radne stanice, Android uređaji — svi na ranjivim kernelima dele isti propust
- Prioritet daj mašinama gde više korisnika ima lokalni pristup (shell serveri, build sistemi, deljeni hostovi) — tamo je lokalni nalog napadaču najlakše dostupan
- Ne oslanjaj se na zaobilazna rešenja: epoll se ne isključuje; ko nudi mitigaciju bez zakrpe, ne nudi pravo rešenje
- Ubrzaj ciklus krpljenja sistema koji godinama rade netaknuti — oni koji se ne diraju su najizloženiji