Un investigador reveló código para explotar cuatro fallos de seguridad en el kernel de Linux que permiten a usuarios locales obtener privilegios de root. Aunque ya existen parches oficiales, se recomienda actualizar los sistemas inmediatamente para evitar riesgos de control total del equipo. La mayoría de estas vulnerabilidades requieren que los namespaces de usuario estén activos, excepto una relacionada con el módulo SCTP.





Un investigador de seguridad ha publicado el código de exploit funcional para cuatro fallos del kernel de Linux que permiten a un usuario local obtener privilegios de root, el nivel más alto de acceso en una máquina.

Los mantenedores del kernel han corregido los cuatro en las últimas semanas, por lo que un sistema que ejecute un kernel actualizado no se verá afectado. Pero el código del exploit ya es público, y cualquier máquina que aún ejecute un kernel antiguo debe ser actualizada.

Los fallos se denominan DirtyAH6, TUNderflow, PPPoEject y DiagSpill. El investigador Asim Manizada los encontró y los reportó al equipo de seguridad del kernel de Linux a mediados de julio.

Publicó un análisis técnico con exploits funcionales el 18 de septiembre, tras una retención coordinada con las distribuciones de Linux para que las correcciones pudieran publicarse primero.

Hasta ahora, no hay informes de que los cuatro se estén utilizando en ataques reales. Los exploits son propiedad de Manizada, están ajustados a compilaciones específicas del kernel y pueden bloquear la máquina, por lo que están destinados a sistemas de prueba aislados.

Aun así, el código de exploit público aumenta el riesgo en sistemas compartidos. La escalada de privilegios locales es más crítica donde un atacante ya tiene algún acceso, como una cuenta de bajos privilegios en un servidor multiusuario, y quiere tomar el control total.

Qué está afectado

Tres de los cuatro fallos pueden ser alcanzados por un usuario ordinario solo cuando los espacios de nombres de usuario no privilegiados (unprivileged user namespaces) están habilitados. Los espacios de nombres de usuario son una característica de Linux que permite a un usuario normal actuar como root dentro de un sandbox privado. Muchas distribuciones los habilitan por defecto, que es como un atacante obtiene los privilegios de red que requieren los exploits.

El cuarto fallo, DiagSpill, es la excepción. No requiere espacios de nombres de usuario ni privilegios especiales, siempre que el sistema tenga disponible el módulo de red SCTP.

Fallo CVE Área del Kernel Prerrequisito local ¿Alcanzable remotamente?
DirtyAH6 CVE-2026-80844 IPsec AH6 (IPv6) Espacios de nombres de usuario no privilegiados Solo bloqueo, y solo si el host enruta IPv6 y añade un Encabezado de Autenticación en modo transporte
TUNderflow CVE-2026-81000 Dispositivos de red virtual TUN/TAP Espacios de nombres de usuario no privilegiados No
PPPoEject CVE-2026-68121 PPPoE Espacios de nombres de usuario no privilegiados No
DiagSpill CVE-2026-74469 SCTP (sctp_diag) Ninguno Solo bloqueo, y solo con opciones SCTP no predeterminadas activadas

Manizada también descubrió que dos de los fallos, DirtyAH6 y DiagSpill, pueden activarse a través de la red, pero solo en casos muy específicos y principalmente para provocar que el sistema se bloquee.

DirtyAH6 puede bloquear un host que actúe como router o puerta de enlace IPv6 y añada un Encabezado de Autenticación IPsec en modo transporte. DiagSpill puede bloquear un host solo cuando ciertas opciones de SCTP, que están desactivadas por defecto, se activan.

Manizada logró obtener acceso root remoto con DirtyAH6 solo en su propio laboratorio, y solo moldeando la memoria en el objetivo primero. Hacer eso solo desde una posición remota, escribió, "parece extremadamente difícil", aunque no lo descartó. Para DiagSpill, dijo que no ve ningún camino hacia el root remoto, incluso con un moldeado de memoria perfecto.

También mencionó que los fallos podrían, en teoría, permitir a un atacante escapar de un contenedor, pero no construyó uno.

Qué hacer

Actualiza a un kernel que incluya las cuatro correcciones. Las primeras versiones estables del kernel con el conjunto completo son:

* 5.10.270
* 5.15.221
* 6.1.188
* 6.6.157
* 6.12.109
* 6.18.50
* 7.2.4

Estos son los números de versión del proyecto principal del kernel de Linux. La mayoría de las personas utilizan un kernel de una distribución, como Debian, Ubuntu, Red Hat o SUSE, que utiliza sus propios números de versión y añade estas correcciones según su propio calendario. Consulta el aviso de seguridad de tu distribución para confirmar que ha lanzado una actualización que incluya los cuatro, en lugar de intentar coincidir con los números anteriores.

Si no puedes parchear inmediatamente, hay dos pasos para reducir el riesgo:

* Desactiva los espacios de nombres de usuario no privilegiados. Esto cierra la ruta del usuario ordinario hacia DirtyAH6, TUNderflow y PPPoEject. No detiene a DiagSpill, ni detiene a un contenedor o proceso que ya tenga privilegios de administración de red.
* Desactiva las funciones afectadas si no las usas: AH6, TUN/TAP, PPPoE y SCTP.

Manizada recomienda parchear en lugar de desactivar funciones, porque podrían existir otras rutas hacia los mismos fallos.

Cómo funcionan los errores

Los cuatro son errores de seguridad de memoria en diferentes partes del código de red del kernel. Cada uno permite a un atacante corromper la memoria del kernel, que Manizada utilizó después para obtener una shell de root. Los errores subyacentes son antiguos, con una antigüedad de entre 10 y 21 años.

* DirtyAH6 está en el código IPsec que maneja el Encabezado de Autenticación IPv6. El código confiaba en un campo de encabezado de enrutamiento sin verificarlo frente al número de direcciones presentes, por lo que un paquete manipulado causaba que un puntero interno se moviera fuera de los límites y escribiera más allá del búfer.
* TUNderflow está en los dispositivos de red virtual TUN y TAP. Se utilizaba un único valor tanto como espacio libre como tamaño, y un valor excesivo pasado a través de Open vSwitch causaba que el cálculo del tamaño diera la vuelta, por lo que los datos del paquete caían fuera de su búfer.
* PPPoEject está en el código para PPP sobre Ethernet. Mantenía un puntero en un búfer de red mientras llamaba a una rutina de dispositivo que podía liberar y mover ese búfer, y las escrituras posteriores utilizaban memoria liberada, un error conocido como use-after-free.
* DiagSpill está en el código de reporte para SCTP. Un contador que rastrea los puntos finales de la conexión tiene solo 16 bits de ancho, por lo que el punto final 65,536 lo devolvía a cero. El código de reporte entonces no reservaba espacio pero copiaba la lista completa, escribiendo unos 8 MiB de datos más allá del final de su búfer.

Una ejecución asistida por IA

Manizada dijo que encontró los cuatro fallos con un proceso asistido por IA que construye un mapa de cómo el kernel maneja la memoria y razona sobre su disposición. La corrección del kernel para DirtyAH6 registra esto: el commit incluye una línea "Assisted-by" que acredita sus herramientas de IA personalizadas.

Este es el último de una serie de fallos de escalada de privilegios del kernel de Linux revelados a lo largo de 2026, varios de ellos encontrados con la ayuda de modelos de lenguaje extensos. Manizada reveló un fallo similar de Open vSwitch, OVSwrap, en julio.

Uno de los nuevos exploits también reutiliza una técnica de Dirty Frag, otro fallo de root del kernel de Linux revelado en mayo por un investigador diferente. En su análisis, Manizada dijo que este lote probablemente termina la fase pública de su búsqueda de errores asistida por IA.

Fuente:
THN