🐧 Linux: GhostLock — 15-летний баг с 97% надёжностью и цепочкой до браузера
Коллеги, добрая среда. Пока всё внимание было на июльский Patch Tuesday, на прошлой неделе Nebula Security раскрыли GhostLock (CVE-2026-43499) — и это один из самых серьёзных LPE 2026 года.
Use-after-free в подсистеме real-time mutex ядра Linux, существующий с 2011 года. Nebula добились 97% надёжности эксплойта через Google kernelCTF и получили $92,337 в рамках bug bounty. Эксплойт не только даёт root — он также позволяет выбраться из контейнера.
Но самое интересное — GhostLock является второй половиной цепочки IonStack: первая половина (CVE-2026-10702) — это уязвимость Firefox, которая выполняет код внутри браузера и выбирается из его sandbox. GhostLock несёт его дальше — до root. Одна вредоносная ссылка → root на системе.
Неприятный нюанс с патчами: оригинальный фикс привнёс отдельный краш-баг (CVE-2026-53166), и cleanup для него ещё стабилизировался в начале июля — ранние сборки могут не содержать финальную версию.
Открытие GhostLock было сделано с помощью AI-инструмента VEGA от Nebula Security — автоматизированного баг-хантера. Futex priority inheritance датируется 2011 годом: старый, активно используемый код ядра, который почти никто не перечитывал годами — пока автоматизированные инструменты не начали его сканировать.
Итог: не все LPE одинаковы. GhostLock + IonStack — это браузер → root одним кликом. Это высшая лига. Проверь что взял финальный патч, а не первый фикс с краш-багом.
#linux #kernel #ghostlock #lpe #security #sysadmin #admin_future
Коллеги, добрая среда. Пока всё внимание было на июльский Patch Tuesday, на прошлой неделе Nebula Security раскрыли GhostLock (CVE-2026-43499) — и это один из самых серьёзных LPE 2026 года.
Use-after-free в подсистеме real-time mutex ядра Linux, существующий с 2011 года. Nebula добились 97% надёжности эксплойта через Google kernelCTF и получили $92,337 в рамках bug bounty. Эксплойт не только даёт root — он также позволяет выбраться из контейнера.
Но самое интересное — GhostLock является второй половиной цепочки IonStack: первая половина (CVE-2026-10702) — это уязвимость Firefox, которая выполняет код внутри браузера и выбирается из его sandbox. GhostLock несёт его дальше — до root. Одна вредоносная ссылка → root на системе.
Неприятный нюанс с патчами: оригинальный фикс привнёс отдельный краш-баг (CVE-2026-53166), и cleanup для него ещё стабилизировался в начале июля — ранние сборки могут не содержать финальную версию.
# Проверяем версию ядра — нужна актуальная с ПОЛНЫМ фиксом:
uname -r
# Ubuntu: проверяем конкретный advisory для своей версии LTS
# (Ubuntu 24.04, 22.04, 20.04 всё ещё могут быть listed as vulnerable)
ubuntu-security-status --verbose | grep -i ghostlock
# или:
apt-cache policy linux-image-$(uname -r) | grep Candidate
# Обновляем + проверяем что взяли именно финальный фикс:
apt update && apt full-upgrade -y
uname -r # после reboot проверяем новую версию
# RHEL/Rocky/AlmaLinux:
dnf update kernel -y && reboot
# Проверяем два build flags которые усложняют эксплуатацию
# (не фикс, но mitigation):
cat /boot/config-$(uname -r) | grep -E "RANDOMIZE_KSTACK|STATIC_USERMODE"
# Приоритизация: патчить первыми shared/multi-tenant машины,
# cloud серверы, контейнерные хосты и CI-runners
Открытие GhostLock было сделано с помощью AI-инструмента VEGA от Nebula Security — автоматизированного баг-хантера. Futex priority inheritance датируется 2011 годом: старый, активно используемый код ядра, который почти никто не перечитывал годами — пока автоматизированные инструменты не начали его сканировать.
Итог: не все LPE одинаковы. GhostLock + IonStack — это браузер → root одним кликом. Это высшая лига. Проверь что взял финальный патч, а не первый фикс с краш-багом.
#linux #kernel #ghostlock #lpe #security #sysadmin #admin_future