Se ha descubierto una nueva vulnerabilidad en el kernel de Linux llamada ZcopyReaper (identificada como CVE-2026-43502). Este fallo, demostrado por investigadores de NebuSec, afecta la ruta de envío de copia cero de los Reliable Datagram Sockets (RDS) y permite que un atacante local sin privilegios pueda escalar sus permisos y obtener potencialmente el control total del sistema (root).

Una nueva vulnerabilidad del kernel de Linux denominada ZcopyReaper permite que un atacante local sin privilegios escale sus privilegios y, potencialmente, obtenga el control a nivel de root.

Identificada como CVE-2026-43502, el fallo fue demostrado a través de un exploit llamado ZcopyReaper por investigadores de seguridad de NebuSec. Esta vulnerabilidad afecta a la ruta de envío de copia cero (zero-copy) de los Reliable Datagram Sockets (RDS) y ha existido en el kernel desde la versión 4.17 de Linux.

La vulnerabilidad surge de una limpieza de memoria incorrecta cuando una operación de envío de copia cero de RDS falla después de que las páginas del espacio de usuario han sido ancladas, pero antes de que el mensaje asociado se adjunte al socket de envío.

La ruta de purga afectada determina el método de limpieza basándose en la asociación del socket del mensaje, aunque la propiedad de la copia cero debería determinarse, en cambio, por la presencia de la estructura op_mmp_znotifier.

En consecuencia, un mensaje que aún no ha entrado en la cola del socket puede limpiarse como si contuviera páginas de carga ordinarias. Este error de gestión del ciclo de vida puede corromper la memoria del kernel y proporcionar las condiciones necesarias para una escalada de privilegios locales.

Vulnerabilidad del Kernel de Linux ZcopyReaper

NebuSec demostró con éxito ZcopyReaper en una instalación de openSUSE que ejecutaba la versión de kernel 6.4.0-150600.23.100, como se detalla en la divulgación técnica publicada en Openwall, mostrando que el problema tiene implicaciones de seguridad prácticas más allá de la denegación de servicio.

La explotación no requiere capacidades de Linux ni acceso a espacios de nombres de usuario sin privilegios. Por lo tanto, desactivar la creación de espacios de nombres de usuario sin privilegios no bloquea el ataque demostrado, un detalle notable para las organizaciones que dependen de las restricciones de espacios de nombres como parte de su estrategia de endurecimiento (hardening) de Linux.

Un sistema vulnerable debe tener habilitados CONFIG_INET y CONFIG_AIO, junto con CONFIG_RDS y CONFIG_RDS_TCP compilados en el kernel o disponibles como módulos cargables.

Cuando el soporte de RDS es modular, los módulos rds.ko y rds_tcp.ko ya deben estar cargados o ser accesibles a través de la carga automática de módulos para que un atacante pueda llegar a la ruta de código afectada.

La corrección upstream modifica rds_message_purge() para que capture op_mmp_znotifier antes de realizar la limpieza y utilice ese notificador para identificar la propiedad de la copia cero.

Si el mensaje no ha llegado a la cola del socket, el código corregido ajusta directamente la contabilidad de páginas ancladas y libera el notificador antes de liberar las páginas de carga, preservando la ruta de finalización normal para los mensajes ya asociados a un socket.

La vulnerabilidad fue solucionada a través del commit upstream 44b550d88b26, siendo Linux 7.1-rc3 la primera versión principal que contiene la corrección.

Las distribuciones estables también han comenzado a retroportar el parche; Ubuntu enumera correcciones para kernels compatibles, incluidos 7.0.0-28, 6.8.0-136 y 5.15.0-186, mientras que Debian registra paquetes corregidos en varias ramas mantenidas.

NebuSec afirmó que su canal automatizado de generación de exploits también confirmó la capacidad de explotación y produjo exploits públicos para otras 20 vulnerabilidades del kernel de Linux.

El material está disponible a través del repositorio de investigación de seguridad CyberMeowfia de la empresa, lo que aumenta la urgencia para que revises los entornos afectados si eres administrador.

Si administras sistemas Linux, deberías instalar las actualizaciones del kernel proporcionadas por el proveedor, reiniciar los sistemas con el kernel parcheado y verificar la versión en ejecución posteriormente.

En los casos donde el parcheo inmediato sea imposible, deberías determinar si RDS y RDS-over-TCP son necesarios y evitar que se carguen módulos innecesarios; desactivar únicamente los espacios de nombres de usuario no es una mitigación efectiva contra ZcopyReaper.