Auf den Punkt: Eine Race-Condition in der ptrace_may_access()-Funktion des Linux-Kernels erlaubte lokalen Nutzern das Auslesen privilegierter Dateien wie SSH-Host-Schlüssel und /etc/shadow, der Fix von Linus Torvalds kam nur Stunden vor Veröffentlichung eines Exploits.
Eine seit Jahren bekannte Schwachstelle in der Linux-Prozessverwaltung erlaubte es lokalen Nutzern, über eine Race-Condition auf Dateien zuzugreifen, die eigentlich nur Root vorbehalten sind – darunter SSH-Schlüssel und die Passwortdatenbank /etc/shadow. Der Fehler wurde erst am Donnerstag behoben, wenige Stunden später erschien bereits ein öffentlicher Exploit.
Die Schwachstelle liegt in der Funktion ptrace_may_access() des Linux-Kernels, die prüfen soll, ob ein Prozess auf einen anderen Prozess zugreifen darf. Bei Prozessen, die sich gerade im Beendigungsvorgang befinden, war diese Prüfung zu permissiv ausgelegt. Wird gezielt eine Race-Condition ausgelöst, kann ein Angreifer Dateien lesen, die der terminierende Prozess zuvor geöffnet hatte – und zwar unabhängig von den eigenen Dateiberechtigungen.
Der Sicherheitsforscher _SiCK hat mehrere Proof-of-Concept-Exploits auf GitHub veröffentlicht. Der weitreichendste, ssh-keysign-pwn, ermöglicht das Auslesen des privaten SSH-Host-Schlüssels der Maschine (/etc/ssh/ssh_host_key), auf den normalerweise nur Root zugreifen kann. Ein weiterer PoC nutzt das Programm „chage“ aus, um die Passwortdatei /etc/shadow während deren Verarbeitung durch den privilegierten Prozess mitzulesen. Da das zugrunde liegende Problem jede setuid-root-Binärdatei betreffen kann, sind ähnliche Angriffe theoretisch gegen weitere privilegierte Programme denkbar. Es handelt sich bereits um die vierte derartige Privilegienausweitungslücke in Linux innerhalb weniger Tage.
Entdeckt wurde die Schwachstelle von der Sicherheitsfirma Qualys. Linux-Maintainer Linus Torvalds hat den Fix am Donnerstagnachmittag eingespielt. Für Betreiber von Linux-Systemen mit mehreren lokalen Nutzern – etwa Shared-Hosting-Umgebungen, Terminalserver oder Systeme mit unprivilegierten SSH-Zugängen – ergibt sich unmittelbarer Handlungsbedarf, da der Exploit bereits öffentlich verfügbar ist.
Betroffene sollten den aktuellen Kernel-Patch zeitnah einspielen und prüfen, ob Distributions-Updates bereits verfügbar sind. Da mehrere ähnliche Lücken kurz hintereinander aufgetreten sind, empfiehlt sich zusätzlich eine Überprüfung, ob lokale, nicht vertrauenswürdige Nutzerkonten auf betroffenen Systemen überhaupt notwendig sind, sowie eine erhöhte Aufmerksamkeit gegenüber weiteren Advisories zu diesem Themenkomplex.
Quelle: www.heise.de · Erschienen 15. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.