Lỗ hổng ‘Bad Epoll’ trên Linux Kernel: Nguy cơ leo thang đặc quyền root trên cả máy chủ và Android

Một lỗ hổng bảo mật mới trong Linux kernel, được đặt tên là Bad Epoll (mã định danh CVE-2026-46242), vừa được công bố. Lỗ hổng này cho phép người dùng thông thường không có đặc quyền đặc biệt có thể leo thang lên quyền root, chiếm toàn quyền kiểm soát hệ thống. Đáng chú ý, phạm vi ảnh hưởng của nó bao gồm cả máy tính để bàn, máy chủ Linux và các thiết bị Android.

Cơ chế hoạt động của Bad Epoll

Epoll là một tính năng cốt lõi của Linux, giúp các chương trình giám sát đồng thời nhiều tệp hoặc kết nối mạng. Do tính chất thiết yếu của nó trong các dịch vụ mạng, máy chủ và trình duyệt web, người dùng không thể vô hiệu hóa tính năng này.

Bad Epoll là một lỗi use-after-free. Sự cố xảy ra khi hai tiến trình trong kernel cùng cố gắng giải phóng một đối tượng nội bộ tại cùng một thời điểm. Một tiến trình giải phóng bộ nhớ trong khi tiến trình kia vẫn đang ghi dữ liệu vào đó. Sự xung đột này cho phép kẻ tấn công làm hỏng bộ nhớ kernel và thực hiện leo thang đặc quyền. Mặc dù cửa sổ thời gian để khai thác lỗi này rất hẹp (chỉ khoảng 6 chỉ dẫn máy), nhưng các chuyên gia đã phát triển được kỹ thuật khai thác thành công tới 99% trên các hệ thống thử nghiệm.

Mối đe dọa đối với Android và trình duyệt

Theo báo cáo, lỗ hổng này có thể được kích hoạt từ bên trong sandbox của trình duyệt Chrome, vốn thường ngăn chặn hầu hết các lỗi kernel khác. Ngoài ra, khả năng tấn công vào hệ điều hành Android khiến Bad Epoll trở nên nguy hiểm hơn so với các lỗi leo thang đặc quyền thông thường trên Linux.

Hiện tại, chưa có bằng chứng cho thấy Bad Epoll đã bị khai thác trong các cuộc tấn công thực tế. Tuy nhiên, các chuyên gia khuyến cáo người dùng cần cập nhật kernel ngay lập tức. Lỗ hổng này xuất hiện từ phiên bản kernel 6.4 trở đi. Các phiên bản cũ hơn như 6.1 (đang dùng trên một số thiết bị như Pixel 8) không bị ảnh hưởng.

Tại sao AI bỏ lỡ lỗ hổng này?

Điều thú vị là Bad Epoll nằm trong cùng một đoạn mã kernel mà mô hình AI Mythos của Anthropic từng phát hiện một lỗi trước đó (CVE-2026-43074). Tuy nhiên, AI đã bỏ lỡ Bad Epoll vì hai lý do chính: cửa sổ thời gian khai thác quá nhỏ khiến việc mô phỏng trở nên phức tạp và lỗi này không gây ra các dấu hiệu bất thường khi chạy (runtime), khiến công cụ phát hiện lỗi KASAN không thể nhận diện.

Người dùng được khuyến nghị áp dụng các bản vá từ nhà phân phối Linux hoặc cập nhật lên phiên bản kernel mới nhất chứa commit a6dc643c6931 để đảm bảo an toàn.

Nguồn tham khảo: The Hacker News