Lỗi ssh-keysign-pwn là gì?

Vào ngày 15 tháng 5 năm 2026, Greg Kroah-Hartman công bố phát hành Linux kernel 7.0.8. Đây là bản cập nhật quan trọng cho người dùng dòng kernel 7.0. Bản phát hành này đặc biệt quan trọng vì nó vá lỗ hổng bảo mật nguy hiểm mang tên ssh-keysign-pwn.

Các chuyên gia bảo mật theo dõi lỗ hổng ssh-keysign-pwn này với mã CVE-2026-46333. Đây là exploit "local root", cho phép người dùng thường leo thang lên siêu người dùng "root". Nhóm Qualys phát hiện lỗi và báo cáo cho nhà phát triển kernel.

Cụ thể, vấn đề nằm ở hàm ptrace_may_access()(). Hàm này được thiết kế để kiểm tra xem người dùng có quyền truy cập vào một tiến trình đang chạy hay không. Tuy nhiên, kernel bỏ qua kiểm tra này nếu tiến trình đang trong quá trình đóng.

Recommended Read: Linus Torvalds Just Patched a 6-Year Old Major Linux “File Descriptor Theft” Vulnerability

Cách thức tấn công

Cuộc tấn công xảy ra trong một khoảng thời gian rất ngắn khi chương trình thoát. Tại thời điểm này, chương trình giải phóng bộ nhớ nhưng vẫn giữ các tệp đang mở trong một thời gian ngắn. Do đó, kẻ tấn công có thể sử dụng công cụ pidfd_getfd để "đánh cắp" các tệp đang mở đó.

Vì kernel bỏ qua kiểm tra bảo mật trong cửa sổ này, kẻ tấn công có thể lấy các tệp đáng lẽ không được phép truy cập. Ví dụ, chúng có thể đọc khóa SSH host hoặc tệp mật khẩu của hệ thống. Các hacker đã phát hành mã khai thác hoạt động đáng tin cậy.

Ai có nguy cơ?

Nếu bạn vận hành máy chủ có nhiều người dùng tài khoản, bạn cần đặc biệt quan tâm. Bao gồm:

  • Máy chủ đa người thuê nơi nhiều người dùng chia sẻ cùng một máy chủ.
  • Cụm container như Kubernetes.
  • CI/CD runner xử lý mã từ nhiều nguồn.

Mọi phiên bản Linux chính được xây dựng từ 2017 đều có thể chứa lỗi logic này. Các bản phân phối như AlmaLinux đã xác nhận các phiên bản 9 và 10 dễ bị tấn công bởi các công cụ khai thác công khai.

Cách bảo vệ hệ thống

Cách tốt nhất là nâng cấp kernel lên phiên bản 7.0.8 ngay lập tức. Linus Torvalds đã đẩy bản vá vào ngày 14, và Greg Kroah-Hartman đưa nó vào bản phát hành ổn định mới này.

Nếu bạn dùng AlmaLinux, bạn có thể chạy cập nhật hệ thống để nhận kernel đã vá cho các phiên bản 8, 9 và 10. Các bản cập nhật này cũng bao gồm vá cho các lỗi khác gần đây như Fragnesia.

Giải pháp tạm thời nhanh

Nếu bạn chưa thể khởi động lại máy chủ ngay, bạn có thể dùng giải pháp tạm thời. Thắt chặt cài đặt bảo mật ptrace_scope. Dùng lệnh sau để chặn các công cụ tấn công đã biết:

sudo sysctl -w kernel.yama.ptrace_scope=2

Đặt giá trị này thành 2 sẽ hạn chế một số hành động chỉ dành cho quản trị viên. Dù hữu ích, đây không phải là giải pháp vĩnh viễn. Bạn vẫn phải cài kernel mới và khởi động lại hệ thống càng sớm càng tốt để đảm bảo an toàn.