Se ha revelado una nueva vulnerabilidad en el kernel de Linux denominada "Bad Epoll" (CVE-2026-46242). Este fallo permite que un usuario local sin privilegios logre acceso de root en servidores Linux, computadoras de escritorio y dispositivos Android. El problema se debe a una condición de carrera y un error de uso posterior a la liberación (UAF) en el subsistema epoll del kernel, específicamente dentro de la función ep_remove().

Un fallo del kernel de Linux recientemente revelado, apodado "Bad Epoll" (CVE-2026-46242), permite que un usuario local sin privilegios escale a root en servidores Linux, computadoras de escritorio y dispositivos Android, explotando una condición de carrera y una vulnerabilidad de uso posterior a la liberación (UAF) en el subsistema epoll del kernel.

Bad Epoll es una vulnerabilidad UAF en ep_remove(), que borra file->f_ep bajo file->f_lock pero continúa utilizando el objeto de archivo dentro de la sección crítica durante hlist_del_rcu() y spin_unlock().

Una llamada concurrente a __fput() puede observar un valor NULL transitorio, saltarse eventpoll_release_file() y proceder directamente a f_op->release, liberando una estructura eventpoll vigilada que aún está en uso, corrompiendo así la memoria del kernel. Debido a que la estructura file es SLAB_TYPESAFE_BY_RCU, la ranura liberada también puede ser reciclada por alloc_empty_file(), permitiendo que un atacante active un kmem_cache_free() contra la caché de slab incorrecta.

El error fue descubierto y explotado por el investigador Jaeyoung Chung, quien lo envió como un día cero al programa kernelCTF de Google, que paga 71.337 dólares o más por exploits funcionales del kernel de Linux.

A diferencia de la mayoría de los errores de escalada de privilegios de Linux, Bad Epoll puede obtener acceso root en Android porque epoll es un componente central del kernel que no se puede desactivar ni descargar, a diferencia de los módulos opcionales explotados por errores como Copy Fail.

La vulnerabilidad Bad Epoll permite el acceso root

También es accesible desde el interior del sandbox del renderizador de Chrome, lo que plantea la posibilidad de encadenar un exploit del renderizador con Bad Epoll para lograr la ejecución completa de código en el kernel. A pesar de que la ventana de carrera tiene solo unas seis instrucciones de ancho, el exploit de Chung amplía esa ventana y reintenta el proceso sin bloquear el kernel, logrando aproximadamente un 99% de fiabilidad en los objetivos probados.

Un único commit del kernel de 2023 introdujo dos condiciones de carrera separadas en la misma ruta de código de epoll de 2.500 líneas. La primera, CVE-2026-43074, fue descubierta por el modelo de IA de Anthropic, Mythos, demostrando la creciente capacidad de la IA de vanguardia para encontrar errores de carrera en el kernel.

Bad Epoll fue el segundo fallo, más difícil de detectar, que Mythos pasó por alto, probablemente debido a su estrecha ventana de tiempo y al hecho de que rara vez activa KASAN, el detector de errores de memoria principal del kernel, dejando pocas evidencias en el tiempo de ejecución. El primer intento de parche de los mantenedores no resolvió el problema por completo, y una corrección adecuada se implementó casi dos meses después de la revelación inicial.

El exploit utiliza cuatro objetos epoll agrupados en dos pares; cerrar un par activa la carrera mientras que el otro se convierte en el objeto víctima, transformando una escritura UAF de 8 bytes en un UAF sobre un objeto de archivo a través de un ataque de caché cruzada.

A partir de ahí, el atacante obtiene acceso de lectura arbitraria a la memoria del kernel a través de /proc/self/fdinfo y secuestra el flujo de control con una cadena de programación orientada a retornos (ROP) para obtener una shell de root.

Dado que epoll no puede desactivarse sin romper la funcionalidad principal del sistema operativo y del navegador, no hay una solución alternativa; los administradores deben aplicar el parche oficial o esperar a que la distribución lo incorpore.

Fuentes:
https://cybersecuritynews.com/bad-epoll-0-day-vulnerability/