Una vulnerabilidad del kernel de Linux recién revelada está generando serias preocupaciones en la comunidad de seguridad, ya que permite a los atacantes acceder a datos altamente sensibles, incluidas claves privadas SSH y hashes de contraseñas, en los sistemas afectados.

Rastreada como CVE-2026-46333, la falla ha sido apodada “ssh-keysign-pwn” e impacta a una amplia gama de distribuciones de Linux.

El sistema Linux se ha visto afectado por múltiples vulnerabilidades en 2026, incluyendo Dirty Pipe, io_uring UAF, Copy Fail, io_uring ZCRX Freelist, Dirty Frag y Fragnesia.

Vulnerabilidad del Kernel de Linux “ssh-keysign-pwn”

El problema se origina en la lógica de control de acceso de ptrace del kernel de Linux, específicamente dentro de la función __ptrace_may_access().

Se supone que este mecanismo restringe cómo los procesos pueden inspeccionar o interactuar con otros procesos. Sin embargo, un fallo de lógica vinculado a las comprobaciones de “dumpability” del kernel crea una condición de carrera peligrosa.

En términos sencillos, cuando un proceso privilegiado (como ssh-keysign o chage) se está cerrando, hay una ventana corta donde su contexto de memoria se borra (mm = NULL) pero sus descriptores de archivo abiertos aún existen. Durante este intervalo, un atacante local sin privilegios puede explotar la falla usando pidfd_getfd() para robar esos descriptores de archivo.

Esto elude efectivamente las comprobaciones de permisos previstas, permitiendo el acceso no autorizado a archivos sensibles.

Investigadores de seguridad, incluido Qualys, advierten que esta vulnerabilidad puede acarrear consecuencias graves:

• El robo de claves privadas SSH permite a los atacantes suplantar sistemas o usuarios.
• Ataques de hombre en el medio (MitM) hasta que se roten las claves comprometidas.
• Acceso total de lectura a /etc/shadow, exponiendo hashes de contraseñas para su descifrado fuera de línea.
• Posible movimiento lateral a través de la infraestructura utilizando credenciales robadas.

Debido a que las claves SSH suelen reutilizarse en distintos entornos, un solo sistema comprometido puede desencadenar un acceso más amplio a la red.

Sistemas Afectados

La vulnerabilidad afecta a la mayoría de las distribuciones de Linux que ejecutan kernels anteriores al parche lanzado el 14 de mayo de 2026. Esto incluye:

• Ubuntu
• Debian
• Arch Linux
• CentOS
• Raspberry Pi OS

Dado que se informa que la falla ha existido durante más de seis años, es posible que muchas implementaciones a largo plazo estén expuestas.

El problema central reside en cómo el kernel maneja los procesos sin un contexto de memoria. La bandera de “dumpability”, diseñada originalmente para controlar los volcados de memoria (core dumps), se reutiliza en las comprobaciones de ptrace, incluso cuando ya no tiene sentido lógico.

Cuando un proceso termina, su memoria se libera antes de que se limpien sus descriptores de archivo. El kernel no logra aplicar correctamente las restricciones de acceso durante este estado de transición, permitiendo que los atacantes superen los límites de seguridad.

El PoC de GitHub ssh-keysign-pwn demuestra exactamente cómo convertir esta condición de carrera en un arma en kernels anteriores a 31e62c2ebbfd.

El PoC genera repetidamente procesos de ataque que compiten contra la ruta de salida de un asistente privilegiado, utilizando pidfd_getfd para capturar descriptores de archivos pertenecientes a root antes de que se cierren.

Según el análisis público, el exploit suele tener éxito entre 100 y 2000 intentos, lo que lo hace práctico en sistemas reales.

Se destacan dos rutas principales de explotación:

• Apuntar a ssh-keysign para leer claves privadas del host SSH desde /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key
• Apuntar a chage -l <usuario> para leer /etc/shadow mediante un patrón similar de robo de descriptores de archivo

Mitigaciones

Tu organización debería actuar inmediatamente para reducir el riesgo:

• Aplica los últimos parches del kernel que corrigen la CVE-2026-46333.
• Rota todas las claves SSH, especialmente en sistemas críticos.
• Audita el acceso a archivos sensibles, como /etc/shadow.
• Monitoriza el uso sospechoso de ptrace o llamadas al sistema relacionadas con pidfd.
• Restringe el acceso de usuarios locales siempre que sea posible, ya que la explotación requiere presencia local.

Como ya se ha publicado un exploit de prueba de concepto (PoC) público en GitHub, aumenta la probabilidad de una explotación activa en entornos reales. Esto incrementa significativamente la urgencia de aplicar el parche.

Siendo SSH la columna vertebral del acceso seguro en entornos empresariales y en la nube, la exposición de claves privadas representa un riesgo de alto impacto que no puedes ignorar.