ทำความรู้จัก Fragnesia และ ssh-keysign‑pwn: ช่องโหว่ Linux Kernel ใหม่ที่ทำให้ผู้ใช้ทั่วไปยกระดับเป็น root ได้

ช่องโหว่นี้ถูกจัดอยู่ในกลุ่มเดียวกับบั๊กก่อนหน้าอย่าง Dirty Frag ซึ่งก็เป็นการโจมตีผ่านระบบเครือข่ายของ kernel เช่นกัน อย่างไรก็ตาม Fragnesia เป็นช่องโหว่คนละรายการและต้องแพตช์แยกต่างหาก แม้จะติดตั้งแพตช์ Dirty Frag แล้วก็ตาม .

นักวิจัยยังได้เผยแพร่ proof‑of‑concept (PoC) ที่สามารถรันบนระบบจริง เช่น Ubuntu ได้สำเร็จแล้ว .

ssh‑keysign‑pwn (CVE‑2026‑46333): ขโมยความลับระดับ Root

ช่องโหว่ที่สอง ssh‑keysign‑pwn ไม่ได้ให้สิทธิ์ root โดยตรง แต่เปิดทางให้ผู้ใช้ทั่วไป อ่านไฟล์ที่ควรเข้าถึงได้เฉพาะ root เช่น:

• SSH host private keys ใน /etc/ssh/
• password hashes ใน /etc/shadow

ปัญหานี้เกิดจากข้อผิดพลาดในระบบ ptrace access control ของ Linux kernel โดยเฉพาะฟังก์ชัน ptrace_may_access() ที่ใช้ตรวจสอบว่าโปรเซสหนึ่งสามารถตรวจสอบหรือเข้าถึงหน่วยความจำของอีกโปรเซสได้หรือไม่ .

บั๊กเกิดจากการจัดการค่าที่เรียกว่า “dumpability” ซึ่งใช้กำหนดว่ากระบวนการหนึ่งสามารถสร้าง core dump หรือถูกตรวจสอบได้หรือไม่ เมื่อใช้ตรรกะนี้กับ task ที่ไม่มีโครงสร้างหน่วยความจำ (MM) การตรวจสอบสิทธิ์อาจล้มเหลวและเปิดทางให้เข้าถึงข้อมูลที่ควรถูกจำกัด .

ตัวอย่างการโจมตีที่นักวิจัยสาธิตคือการใช้ helper แบบ setuid‑root ชื่อ ssh-keysign:

1. โปรแกรมเปิดไฟล์ SSH host key ด้วยสิทธิ์ root
2. จากนั้นลดสิทธิ์ลง
3. ผู้โจมตีแนบกระบวนการ (ptrace) ในจังหวะที่เหมาะสม
4. ดึง file descriptor หรือหน่วยความจำของโปรเซสออกมา

ผลลัพธ์คือสามารถขโมย SSH private keys หรือข้อมูลใน /etc/shadow ได้ .

ทำไมช่วงนี้ Linux kernel มีช่องโหว่จำนวนมาก

นักวิจัยด้านความปลอดภัยสังเกตว่า Fragnesia และ ssh‑keysign‑pwn ถูกเปิดเผยในช่วงเวลาเดียวกับช่องโหว่อื่น ๆ เช่น Dirty Frag และ Copyfail ภายในเวลาประมาณสองสัปดาห์ .

ลักษณะร่วมของช่องโหว่เหล่านี้คือ:

• โจมตี subsystem สำคัญของ kernel เช่น networking หรือ process tracing
• ผู้โจมตีต้องมี local access ระดับผู้ใช้ธรรมดา ก่อน
• ใช้เพื่อ ยกระดับสิทธิ์หรือขโมยข้อมูลสำคัญของระบบ

สถานการณ์นี้สำคัญเพราะในการโจมตีจริง ผู้โจมตีมักเริ่มจากการได้สิทธิ์ระดับต่ำ เช่น:

• เจาะเว็บแอปพลิเคชัน
• หลุดจาก container
• หรือใช้บัญชีผู้ใช้ที่ถูกขโมย

จากนั้นจึงใช้ช่องโหว่ใน kernel เพื่อ ยึดสิทธิ์ root ทั้งเครื่อง.

เวอร์ชัน Kernel ที่มีแพตช์แล้ว

ช่องโหว่ ssh‑keysign‑pwn ได้รับการแก้ไขใน Linux kernel หลายสาขา เช่น :

• 7.0.8
• 6.18.31
• 6.12.89
• 6.6.139
• 6.1.173
• 5.15.207
• 5.10.256

ดิสทริบิวชัน Linux หลายรายได้ปล่อยแพตช์แล้ว และบางแพตช์ แก้ไขทั้งสอง CVE พร้อมกัน ผ่านการอัปเดต kernel ปกติของระบบ .

สิ่งที่ผู้ดูแลระบบควรทำทันที

เนื่องจากเป็นช่องโหว่ระดับ kernel วิธีป้องกันที่แท้จริงมีเพียง ติดตั้ง kernel ที่แพตช์แล้วและรีบูตเครื่อง.

ขั้นตอนสำคัญ ได้แก่

• อัปเดต kernel จากแพ็กเกจของดิสทริบิวชัน
• รีบูตระบบเพื่อโหลด kernel ใหม่
• ตรวจสอบเวอร์ชัน kernel ด้วย

  uname -r

หากสงสัยว่าระบบอาจถูกเจาะ ควร หมุนเวียน SSH host keys ใหม่ทั้งหมด หลังการแพตช์ .

วิธีลดความเสี่ยงชั่วคราว

หากยังไม่สามารถอัปเดต kernel ได้ทันที อาจใช้มาตรการชั่วคราวเพื่อลดพื้นที่โจมตี

สำหรับ Fragnesia

สามารถปิดโมดูลเครือข่ายที่เกี่ยวข้องได้ เช่น

• esp4
• esp6
• rxrpc

การปิดโมดูลเหล่านี้จะลดความเสี่ยง แต่ อาจกระทบการใช้งาน IPsec หรือ VPN บางรูปแบบ .

สำหรับ ssh‑keysign‑pwn

บางระบบใช้การจำกัด ptrace เพิ่มเติม เช่น

kernel.yama.ptrace_scope=2 หรือ 3

อย่างไรก็ตามการตั้งค่านี้อาจทำให้เครื่องมือดีบักอย่าง strace หรือ gdb ใช้งานไม่ได้ จึงควรใช้เป็นเพียง มาตรการชั่วคราวเท่านั้น .

สรุป

Fragnesia และ ssh‑keysign‑pwn แสดงให้เห็นว่าช่องโหว่ใน Linux kernel หลังการเจาะระบบ (post‑compromise vulnerabilities) สามารถร้ายแรงเพียงใด

แม้ผู้โจมตีจะเริ่มต้นด้วยสิทธิ์ต่ำ แต่ช่องโหว่เหล่านี้สามารถทำให้พวกเขา:

• ยกระดับเป็น root
• หรือขโมยข้อมูลลับสำคัญของระบบ

สำหรับองค์กรหรือผู้ดูแลระบบ แนวทางที่ปลอดภัยที่สุดคือ:

• อัปเดต kernel ให้มีแพตช์ CVE‑2026‑46300 และ CVE‑2026‑46333
• รีบูตระบบทันที
• หมุนเวียน SSH keys หากมีความเสี่ยงว่าข้อมูลถูกเข้าถึง

เนื่องจากมี proof‑of‑concept ถูกเผยแพร่สู่สาธารณะแล้ว การเลื่อนการอัปเดตแพตช์อาจเพิ่มความเสี่ยงต่อการถูกโจมตีจริงได้อย่างมาก.