Nội dung bài viết
Lỗi use-after-free có thể bị khai thác để tránh sự phòng thủ của sandbox.
Các nhà nghiên cứu đã phân tích một lỗ hổng có mức độ nghiêm trọng cao trong Linux có thể khiến người dùng không đáng tin cậy phải root bằng cách khai thác một lỗi mà bạn không thường thấy: một ký tự lỗi duy nhất bên trong kernel.
Lỗ hổng có tên CVE-2026-23111 nằm trong nf_tables, một hệ thống con của nhân Linux cung cấp khả năng lọc gói. Nó được sử dụng để quản lý các quy tắc tường lửa và thay thế các hệ thống con cũ hơn như iptables, ip6tables, arptables và ebtables.
Sự hiện diện của một dấu chấm than được phát hành sai trong mã triển khai nf_tables đã gây ra use-after-free, một loại lỗ hổng làm hỏng bộ nhớ bằng cách đặt mã độc vào các địa chỉ bộ nhớ chưa được giải phóng đúng cách khỏi nội dung trước đó của chúng.
CVE-2026-23111 có thể bị khai thác bởi người dùng hoặc quy trình không có đặc quyền để nâng cao quyền root của hệ thống.
Việc khai thác hoạt động bằng cách làm gián đoạn việc xóa các phán quyết—một quyết định trong khung nf_tables xác định xem gói có khớp với quy tắc yêu cầu thực hiện một hành động nhất định hay không.
Quá trình này có thể sử dụng cái được gọi là phần tử tổng hợp, hoạt động như một ký tự đại diện trong trường hợp việc tra cứu không được thực hiện. ’ không khớp với bất kỳ phần tử nào khác trong tập hợp.
Khi bản đồ phán quyết bị xóa khỏi bộ nhớ, các phần tử tổng hợp sẽ bị vô hiệu hóa và bộ đếm tham chiếu của chuỗi sẽ giảm đi. Khi xảy ra lỗi, việc xóa có thể được đảo ngược và bộ đếm tăng lên.
CVE-2026-53111 cho phép thay đổi quy trình đó. Kết quả là, việc khai thác có thể giảm biến số lần tùy ý, sau đó xóa và giải phóng chuỗi khi một số đối tượng vẫn trỏ đến nó.
Các nhà nghiên cứu từ công ty bảo mật Exodus Intelligence đã viết hôm thứ Hai: “Trong bài đăng trên blog này, chúng tôi đã thấy một dấu chấm than không chính xác đã tạo ra một lỗ hổng use-after-free có thể bị khai thác bởi người dùng không có đặc quyền trên Debian và Ubuntu để nâng cấp đặc quyền lên root”.
“Mặc dù việc khai thác kích hoạt lỗ hổng use-after-free nhiều lần để rò rỉ địa chỉ cơ sở kernel, rò rỉ địa chỉ heap và chiếm quyền điều khiển luồng, nhưng các cuộc kiểm tra độ ổn định đã mang lại độ ổn định >99% trên hệ thống nhàn rỗi.” Lỗ hổng này đã được sửa trong kernel vào tháng 2 và sau đó được chuyển trở lại các bản phân phối Linux chính.
Công ty bảo mật FuzzingLabs đã trình diễn bằng chứng về khai thác khái niệm vào tháng Tư. Exodus Intelligence đã phát hiện ra lỗi này, bao gồm đã chỉnh sửa cách khai thác PoC của riêng mình trong bài đăng hôm thứ Hai.
Nó hoạt động trên Debian và Ubuntu. CVE-2026-53111 là một trong ít nhất ba lỗ hổng nâng cao đặc quyền mạnh mẽ tấn công Linux trong những tuần gần đây.
Các lỗ hổng này rất nghiêm trọng vì khi được kết hợp với một cách khai thác riêng biệt, chúng có thể được sử dụng để trốn tránh các biện pháp bảo vệ an ninh được đưa vào hệ điều hành. Ars Technica đã tách tín hiệu khỏi tiếng ồn trong hơn 25 năm.
Với sự kết hợp độc đáo giữa hiểu biết về kỹ thuật và mối quan tâm sâu rộng đến nghệ thuật và khoa học công nghệ, Ars là nguồn đáng tin cậy trong biển thông tin. Suy cho cùng, bạn không cần phải biết mọi thứ, chỉ cần biết những gì quan trọng.
Gợi ý thực hành:
1. Theo dõi thông báo từ cơ quan địa phương tại California.
2. Kiểm tra nguồn chính thức trước khi chia sẻ lại thông tin.