TuxCare сообщила о проверке новой уязвимости ядра Linux: 22 октября исследователи получили права суперпользователя root на AlmaLinux 8–10, CloudLinux 9–10, Debian 12–13 и Ubuntu 24.04/26.04. В проверенных AlmaLinux уже стояло исправление майской ошибки Dirty Frag, но новый путь позволил обойти эту защиту. Речь о результатах испытаний, а не об установленной кампании взломов.

Отчёт ZDI-CAN-33367 появился в открытой рассылке разработчиков 21 октября. Ошибка находится в функции skb_zerocopy, которая передаёт сетевые данные без лишнего копирования. Вместе с данными она должна сохранять отметку, что используемая память принадлежит ещё и другим объектам, но теряет её. Следующий участок ядра считает память собственной и меняет её содержимое — в результате обычный пользователь может изменить находящиеся в памяти данные файла, к которому у него есть только право чтения.

Для проверенного способа атаки уже нужна возможность выполнять программу на машине, доступ к пользовательским пространствам имён и определённые сетевые модули ядра. Это особенно существенно для общего хостинга и серверов сборки: ограниченный доступ там могут штатно получать клиенты или задания. Успешные тесты не означают, что уязвима любая установка перечисленных дистрибутивов.

Разработчик сетевой подсистемы Эрик Дюмазе подтвердил, что другой исследователь прислал ту же проблему с исправлением неделей раньше. По разбору TuxCare, 22 октября патч уже выставили на рассмотрение, но он ещё не вошёл в основную ветку и готовые ядра дистрибутивов. Предложенное изменение кода и доставленное пользователям обновление — разные этапы; прежний патч Dirty Frag эту новую ошибку не закрывает.