潜伏6年：Linux内核曝高危漏洞，可窃取SSH主机密钥和root密码

5 月 16 日消息，网络安全公司 Qualys 于 5 月 14 日公开披露了一个名为 ssh-keysign-pwn 的漏洞。该漏洞存在于 Linux 内核中，属于本地提权相关问题，最早可追溯到 2020 年，说明它至少已存在 6 年之久。

在安全风险方面，任何未获得特权的本地用户都能利用此漏洞，读取服务器上的 SSH 主机私钥，或者直接获取 /etc/shadow 文件中存储的密码哈希值。

在漏洞细节方面，问题出在内核函数 __ptrace_may_access 上。这个函数负责判断一个进程是否能够检查另一个进程，但在 task-mm == NULL 的特殊状态下，它会跳过 dumpable 检查环节。

这种状态出现在进程退出的短暂时间窗口内：进程已经释放了内存，但文件描述符尚未关闭。攻击者正是利用这一极短时机，窃取仍然保持打开状态的敏感文件描述符。

在攻击手法上，攻击者无需 root 权限，也无需额外的特殊许可，只需调用者的 UID 与目标进程一致，就能在目标高权限进程即将退出时，抢夺已打开的文件描述符。

公开的概念验证代码已经附带两个现成的利用程序，其中 sshkeysign_pwn 针对 ssh-keysign 组件，chage_pwn 则针对 chage 组件，并可读取 /etc/shadow 文件。

受影响范围很广泛。原文指出，截至 2026 年 5 月 14 日，所有稳定版 Linux 内核都会受到影响，已确认存在问题的发行版包括 Arch Linux、Debian、Ubuntu、CentOS 和 Raspberry Pi OS。

考虑到该漏洞的危险性，Linus Torvalds 在 5 月 14 日当天就发布了补丁进行修复。如果你的 Linux 服务器或桌面系统尚未装上当天发布的内核更新，那么 SSH 主机密钥和 shadow 文件理论上都可能被本地用户读取。

附上参考地址

ssh-keysign-pwn

Hash Suite - Windows password security audit tool. GUI, reports in PDF.

@encrypted_past

来源：IT之家