Se ha revelado una vulnerabilidad de tipo use-after-free en el subsistema nftables del kernel de Linux, identificada como CVE-2026-23111. Este fallo permite que atacantes locales sin privilegios puedan escalar sus permisos hasta obtener acceso de root en distribuciones populares como Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS y Ubuntu 24.04 LTS. La vulnerabilidad fue descubierta a principios de 2025 y se lanzó un parche el 5 de febrero de 2026.

Se ha revelado una vulnerabilidad de use-after-free (uso después de la liberación) en el subsistema nftables del kernel de Linux, lo que permite que atacantes locales sin privilegios eleven sus privilegios a root en distribuciones ampliamente desplegadas, incluyendo Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS y Ubuntu 24.04 LTS.

Rastreada como CVE-2026-23111, la falla fue descubierta a principios de 2025 y corregida en el código fuente el 5 de febrero de 2026, a través de un commit del kernel. El investigador de seguridad Oliver Sieber, de Exodus Intelligence, publicó un informe técnico detallado junto con un exploit funcional que demuestra una fiabilidad superior al 99% en sistemas inactivos.

El error se origina en la función nft_map_catchall_activate() dentro del subsistema nftables, un marco de filtrado de paquetes construido sobre los ganchos de Netfilter de Linux.

Específicamente, una única comprobación condicional invertida (un operador ! mal colocado) provoca que la función omita incorrectamente los elementos catchall inactivos durante el proceso de aborto, en lugar de reactivarlos.

Cuando se elimina un mapa de veredicto respaldado por pipapo que contiene un elemento catchall que hace referencia a una cadena, y una transacción posterior en el mismo lote falla activando un aborto, el elemento catchall permanece incorrectamente inactivo.

Esto deja el contador de referencias de la cadena referenciada en cero, a pesar de que todavía existe una referencia válida a dicha cadena. Un atacante puede entonces eliminar la cadena mientras queda un puntero colgante en una regla de cadena base, activando la condición de use-after-free.

Vulnerabilidad use-after-free del Kernel de Linux

El exploit encadena cuatro lotes de transacciones para manipular el mecanismo de cursor generacional de nftables:

• Lote 1: Eliminar el conjunto pipapo y luego forzar un error para activar el aborto, haciendo que el contador de referencias de la cadena disminuya incorrectamente.
• Lote 2: Enviar una transacción benigna para alternar el cursor de generación.
• Lote 3: Eliminar el conjunto pipapo limpiamente, llevando el contador de referencias de la cadena a cero.
• Lote 4: Eliminar la cadena mientras la cadena base conserva una regla activa que hace referencia a ella.

A partir de ahí, el exploit derrota el KASLR recuperando la slab kmalloc-cg-32 liberada con una estructura seq_operations (poblada mediante open("/proc/self/stat")), filtrando punteros de funciones del kernel a través de una solicitud NFT_MSG_GETRULE.

Posteriormente, se filtran las direcciones del heap recuperando objetos kmalloc-cg-192 liberados con estructuras nft_rule diseñadas, cuyos punteros de lista enlazada se exfiltran de la misma manera.

El secuestro del flujo de control se logra sobrescribiendo el puntero blob_gen_0 de la cadena eliminada con una estructura nft_expr_ops falsa que apunta a un gadget ROP (push rbx; pop rsp). La cadena ROP final llama a commit_creds(&init_cred) para obtener credenciales de root y luego escapa del aislamiento de espacios de nombres mediante switch_task_namespaces(), logrando una ruptura total del contenedor y del espacio de nombres.

En Ubuntu 24.04, las restricciones de creación de espacios de nombres impuestas por AppArmor pueden eludirse utilizando aa-exec -p trinity -- unshare -Urmin /bin/sh antes de la explotación.

Distribución	Estado
Debian Bookworm	Vulnerable
Debian Trixie	Vulnerable
Ubuntu 22.04 LTS	Vulnerable
Ubuntu 24.04 LTS	Vulnerable

El exploit logró una estabilidad superior al 99% en sistemas inactivos y aproximadamente un 80% de estabilidad bajo una fuerte presión del heap (benchmark de Apache vía Phoronix Test Suite), lo que lo hace altamente fiable en condiciones reales, dijo Oliver Sieber.

Cabe destacar que la misma sentencia break que introdujo esta falla también generó un error relacionado rastreado como CVE-2026-23278, corregido por separado mediante un segundo commit del kernel.

Debes aplicar inmediatamente el parche del kernel upstream (commit f41c5d1) o actualizarte a una versión del kernel parcheada proporcionada por tu distribución.

En sistemas Ubuntu, restringir la creación de espacios de nombres de usuario sin privilegios mediante kernel.unprivileged_userns_clone=0 proporciona una mitigación parcial donde la política lo permita.

Fuentes:
https://cybersecuritynews.com/linux-kernel-nftables-vulnerability/