Hibás Epoll: az Anthropic mesterséges intelligenciája nem vette észre ezt a gyökérszintű sebezhetőséget

Jaeyoung Chung biztonsági kutató nyilvánosságra hozott egy Linux-kernel hibát, amely révén egy átlagos, jogosultságokkal nem rendelkező felhasználó teljes ellenőrzést szerezhet a rendszer felett. A „Bad Epoll” néven ismert hiba – hivatalos azonosítója CVE-2026-46242 – a Linux-alapú asztali számítógépeket, szervereket és az Android rendszert érinti. A hiba javítására már rendelkezésre áll a frissítés. Az eset egy mellékes történet miatt is különösen figyelemre méltó: egy mesterséges intelligencia már korábban megvizsgálta az érintett kódot, de nem vette észre ezt a sebezhetőséget.

Mit csinál a Bad Epoll

?

A hiba az epoll alrendszerben található, amely egy olyan alapvető funkció, amely lehetővé teszi a programok számára, hogy egyszerre több fájlt és hálózati kapcsolatot figyeljenek. A szerverek, a hálózati szolgáltatások és a böngészők folyamatosan használják, és nem lehet kikapcsolni. A „Bad Epoll” egy „use-after-free” típusú hiba: két kernel-útvonal egyszerre takarítja ki ugyanazt a belső objektumot, az egyik felszabadítja a memóriát, miközben a másik még mindig ír rá. Ez a rövid ütközés elegendő a rendszermag memóriájának manipulálásához és a normál felhasználói fiókról root jogosultságra való feljuttatáshoz.

A bökkenő az időzítésben rejlik. Az az időablak, amelyben mindkét útvonal ütközik, csupán körülbelül hat gépi utasítás hosszúságú. Chung kihasználási módszere kiszélesíti ezt az időablakot, és összeomlás nélkül addig próbálkozik, amíg a tesztelt rendszereken az esetek körülbelül 99%-ában meg nem szerezte a root jogosultságot. Két részlet teszi a hibát súlyosabbá a tipikus kernelhibáknál: Chung szerint a Chrome renderelőjének sandboxjából is kiváltható, és kiterjed az Android-ra is, ami a legtöbb Linux-hibára nem jellemző.

Miért nem vette észre a hibát az AI

?

Mindkét probléma egy 2023-as kódmódosításra vezethető vissza, amely csupán 2500 sor epoll-kódot érintett. Az Anthropic Mythos nevű AI-modellje felfedezte a két versenyhelyzet közül az elsőt, és CVE-2026-43074 kódszám alatt jelentette be. Ez igazi siker volt, mivel az ilyen versenyhibákat nehezen észlelhetőnek tartják. A modell azonban elmulasztotta a másodikat, a Bad Epoll-t. Végül Jaeyoung Chung, egy emberi kutató fedezte fel, és kidolgozott hozzá egy működőképes támadási módszert.

Chung két lehetséges okot is megemlít a vakfoltra vonatkozóan, anélkül, hogy bármelyik mellett is elköteleződne. Az időablak olyan kicsi, hogy a pontos sorrendet még a kód áttekintése során is nehéz elképzelni. Ráadásul az első hiba kijavítása után a „Bad Epoll” általában már nem váltotta ki a KASAN memóriahiba-érzékelőt, így a modell nem rendelkezett futásidejű nyomokkal. Az eset a probléma mindkét oldalát megmutatja: az AI képes komplex kernelhibákat megtalálni, de a finom versenyfeltételek esetén még mindig kudarcot vallhat.

Kiket érint a probléma, és mit kell tenni

?

A 6.4-es verziótól kezdődő kernelverziók érintettek, ha a javítás még nem áll rendelkezésre. A Linux 6.1-en alapuló régebbi rendszerek biztonságban vannak, beleértve néhány Android eszközt is, például a Pixel 8-at, mivel a hibás kódot csak azután adták hozzá, hogy az ág elkészült. Chung szerint az Android kihasználásának kidolgozása még folyamatban van. Van némi megnyugtató hír a közvetlen kockázattal kapcsolatban: eddig nincs jele valós támadásoknak, és az egyetlen működő kód a Google kernelCTF programjából származó proof of concept. Szintén fontos: a támadónak már eleve helyi hozzáféréssel kell rendelkeznie az eszközhöz, mivel a hibát nem lehet távolról kiváltani.

Azok a felhasználók, akik manuálisan frissítenek, az a6dc643c6931 upstream commitot kell alkalmazniuk. Mindenki másnak meg kell várnia a disztribúciója backportját, és azt haladéktalanul telepítenie kell. Mivel az epoll nem kapcsolható ki, nincs ideiglenes megoldás, csak a frissítés oldja meg a problémát.