Lỗ hổng Linux Kernel chỉ với một ký tự cho phép chiếm quyền Root: Exploit đã được công khai

Các nhà nghiên cứu bảo mật vừa công bố chi tiết về một lỗ hổng use-after-free nghiêm trọng trong Linux kernel, cho phép người dùng không có đặc quyền thực hiện leo thang lên quyền root và thoát khỏi môi trường container. Lỗ hổng này được định danh là CVE-2026-23111.

Vấn đề nằm ở mã lọc gói tin nf_tables của kernel. Đáng chú ý, nguyên nhân gốc rễ chỉ xuất phát từ một ký tự bị sai sót trong logic kiểm tra, và bản vá chính thức từ cộng đồng nguồn mở chỉ cần thay đổi đúng một dòng code. Lỗ hổng này đã được vá từ ngày 5 tháng 2 năm 2026, tuy nhiên các tài liệu kỹ thuật và mã exploit đã bắt đầu xuất hiện công khai từ tháng 4 và tháng 6 năm 2026.

Theo đánh giá từ Ubuntu, lỗ hổng này đạt mức điểm CVSS 7.8 (High). Mặc dù không có vector tấn công từ xa, nhưng kẻ tấn công có thể lợi dụng lỗ hổng này sau khi đã chiếm được quyền truy cập ban đầu vào hệ thống (thông qua một shell hạn chế hoặc container bị xâm nhập) để giành quyền kiểm soát toàn bộ máy chủ.

Các nhà nghiên cứu đã chứng minh khả năng khai thác thành công trên nhiều bản phân phối phổ biến như Debian (Bookworm, Trixie) và Ubuntu (22.04, 24.04 LTS). Cơ chế tấn công tận dụng tính năng unprivileged user namespaces, một thành phần mặc định trên hầu hết các hệ điều hành Linux hiện nay, cho phép người dùng thông thường tạo ra các môi trường sandbox và tương tác với các phần mã kernel vốn bị hạn chế.

Khuyến nghị cho quản trị viên:

• Kiểm tra và cập nhật kernel lên phiên bản mới nhất từ nhà cung cấp bản phân phối (Red Hat, SUSE, Amazon Linux, Debian, Ubuntu).
• Thực hiện khởi động lại hệ thống sau khi áp dụng bản vá.
• Trong trường hợp chưa thể cập nhật ngay, hãy cân nhắc hạn chế quyền sử dụng user namespaces đối với các người dùng hoặc tiến trình không đáng tin cậy để giảm thiểu bề mặt tấn công.

Hiện tại, chưa có báo cáo về việc lỗ hổng này bị khai thác trong thực tế (in-the-wild), nhưng với việc mã exploit đã được công khai, các tổ chức cần ưu tiên kiểm tra và vá lỗi sớm để bảo vệ hệ thống.

Nguồn tham khảo: The Hacker News