CVE-2026-46333: Linuxカーネルの脆弱性により、足場からroot権限への昇格が可能となる
目次
5月20日に, QualysがCVE-2026-46333を公開した, 、2016年11月からメインラインコードに存在していたLinuxカーネルのロジック欠陥である。このバグが存在するのは __ptrace_may_access(). 特権を持たないローカルユーザーが読み取れるようにします /etc/shadow, 、SSHホストの秘密鍵を盗み出す、またはrootとしてコマンドを実行します。パブリックなエクスプロイトは、Debian 13、Ubuntu 24.04、Ubuntu 26.04、Fedora 43、およびFedora 44のデフォルトインストールに対してすでに機能します。パッチは公開されています。.
CVE-2026-46333の実際の内容
その欠陥は、gdbのようなデバッガーが使用するインターフェースであるptraceを使用して、あるプロセスが別のプロセスにアタッチできるかどうかを決定するカーネル関数のロジックエラーです。 GDB と strace 依存する。それはメモリ破損バグでも、古典的な競合状態でもなく、リモートから悪用できるものでもない。.
これが正確なメカニズムです。.
特権プロセス（次のようなセットuidルートバイナリ）が ssh-keysign または 変更)がシャットダウンすると、そのメモリ記述子はファイル記述子テーブルが閉じられる前に切り離されます。そのウィンドウの間、カーネルのアクセスチェックは、次と呼ばれる保護機能をバイパスします。 ダンプ可能 チェックがメモリ記述子を検出したためフラグを設定する NULL. 権限のないローカルユーザーがウィンドウを悪用して pidfd_getfd(), Linux 5.6（2020年1月）で追加されたシステムコールであり、特権を持つプロセスからファイル記述子をコピーして外部に出すためのものである。これらの記述子は攻撃者のものとなったが、特権プロセスがオープンしていたあらゆるリソースを依然として指し示している。それには /etc/shadow, 、SSHホストプライベートキー、およびsystemdへの認証済みD-Bus接続.
Qualys社は、Debian 13、Ubuntu 24.04、Ubuntu 26.04、Fedora 43、およびFedora 44のデフォルトインストールに対する4つの動作する悪用コード（エクスプロイト）を作成しました。
変更開示する/etc/shadowssh-keysign— SSHホストの秘密鍵を露見させるpkexec— root権限で任意のコマンドを実行するアカウントデーモン— root権限で任意のコマンドを実行する
これらのうち2つは直接root権限にエスカレーションします。残りの2つは、異なるパスを通じて同じ結果につながる機密情報を漏洩します。盗まれたSSHホスト鍵により、攻撃者はサーバーなりすますことができます。盗まれた /etc/shadow ハッシュのフィードを用いたオフラインクラック。盗み出されたD-Busチャネルは、systemdを制御するためにリプレイされる可能性がある。.
脆弱なコードは、2016年11月のv4.10-rc1以降、メインラインのLinuxに同梱されています。つまり、エンタープライズの稼働環境、クラウドイメージ、コンテナホストが約9年にわたってこの欠陥を受け継いできたことになります。.
なぜ「ローカル限定」がリスクを過小評価しているのか
「特権を持たないローカルユーザー」と「ホストの完全な侵害」の境界線は何年もの間、徐々に侵食されてきました。CVE-2026-46333はその境界線を完全に崩壊させます。このエクスプロイトを助長する特権を持たないローカルシェルは、セキュリティチームがすでに把握している場所から発生しています：
- フィッシング詐欺に遭い、踏み台サーバーへのSSHアクセス権を持った開発者
- 信頼できないプルリクエストを実行する制限されたCI/CDランナー
- マルチテナントアプリケーションサーバー上の権限の低いサービスアカウント
- パッチ未適用のアプリケーションの脆弱性を通じて設置されたWebシェル
- テナントがユーザーアカウントごとに分離されている共用ホスティング環境
それらのどれもが、カーネルの問題である前に露出の問題である。CVE-2026-46333はキルチェーンの第2段階に過ぎない。第1段階は、外部からの攻撃対象領域がすでに露出させている、あるいはすでに漏洩させているものなのだ。.
私たちが毎日目にする初期アクセスの問題
ここでの会話は、通常パッチ適用の話へと急展開します。私たちはそれをもう少しスローダウンさせたいのです。.
- 管理者が忘れているインフラ上の露出したSSHサービス — ステージング環境、稼働し続けている廃止ホスト、各チームが立ち上げたシャドーIT
- パッチ管理プログラムから外れて放置され、多くの場合その上の何かが壊れた時に初めて発見される、忘れられたLinuxサーバー
- IP制限なしでインターネットに公開されている開発およびCI/CDエンドポイント
- 認証なしでアクセス可能であるか、または脆弱な認証情報で保護されているコンテナレジストリおよびKubernetes APIエンドポイント
クレデンシャル・インテリジェンスは、全体像のもう半分を補完します。アンダーグラウンドフォーラムに出現する漏洩したクレデンシャルには、通常、SSHパスワード、sudoパスワード、パーソナルアクセストークンが含まれています。これらはまさに、特権を持たない ローカルシェル CVE-2026-46333 ニーズ.
公開されたLinuxインフラストラクチャと漏洩したクレデンシャルの組み合わせにより、「ローカルのみ」という注意書きは安心材料ではなくなります。それは、攻撃が実際にどのように展開されるかを示す説明に変わります。.
当社のテレメトリーにおいて、CVE-2026-46333の悪用が実際に行われていることが観測されたとは主張していません。この脆弱性は発見されてからまだ数日しか経っていません。当社が継続的かつ大規模に観測しているのは、このCVEを重要たらしめている初期アクセスの条件です。.
今週やること
わかりやすいものから始めた簡単なチェックリストです。.
カーネルをパッチする。. Debian、Ubuntu、Red Hat、SUSE、Fedora、AlmaLinux、およびCloudLinuxがアップデートをリリースしました。マルチテナントシステム、共有開発者インフラストラクチャ、CI/CDランナー、および特権を持たないユーザーがシェルアクセスを持つすべてのホストを優先してください。これらは、「侵害されたユーザー」と「侵害されたホスト」のギャップが最も重要となるシステムです。.
パッチ適用を待たなければならない場合は、暫定的な緩和策を適用してください。. 設定 kernel.yama.ptrace_scope = 2. これにはが必要です CAP_SYS_PTRACE ptraceのアタッチに対するもので、公開されているエクスポットを防ぎます pidfd_getfd() アクセスチェック。その設定は再起動によってのみ元に戻すことが可能で、いくつかのワークフローを破壊します — gdb -p ユーザーが起動していないプロセス、特定のブラウザーのクラッシュレポーターサンドボックス、一部のコンテナデバッグツール、CRIUに対して。まずは代表的な環境でテストしてください。.
脆弱性のあるカーネルによって漏洩した可能性があるクレデンシャルをローテートしてください。. 露出期間中に信頼されていないローカルユーザーを許可したすべてのホストにおいて、SSHホスト秘密鍵、ローカルにキャッシュされた資格情報、およびset-uidプロセスメモリ内に存在していたデータが潜在的に漏洩したものとして扱ってください。SSHホスト鍵をローテーションしてください。露出した可能性のある管理用データを確認してください。.
外部Linuxフットプリントをマッピングする。. どのホストがインターネットから到達可能で、どれがパッチ未適用のカーネルを実行しており、どれがインタラクティブなアクセス（SSH、管理用Webシェル、CIランナーのコントロールプレーン）を公開しているか。この作業は、今回のカーネルCVEだけでなく、将来のすべてのカーネルCVEにおいて効果を発揮します。.
それらのホストへのアクセス権を付与する認証情報が漏洩していないか確認してください。. パッチ適用済みのカーネルは、正当なユーザーとしてすでにログインしている攻撃者を阻止することはできません。アンダーグラウンドソースにおける認証情報の漏洩は、初期アクセス（フットホールド）リスクの主要な先行指標となります。.
パッチの背後にあるパターン
CVE-2026-46333は、3週間で4件目となるLinuxカーネルの特権昇格の脆弱性であり、以下に続くものである。 コピー失敗（4月29日）、ダーティー・フラグ（5月7日）、フラグネシア（5月13日）. それらはすべて、「情報公開、パッチの緊急対応、通常業務への復帰」という同じサイクルを引き起こした。.
著者について
