Alerta Crítico: Falha GhostLock no Kernel Linux Expõe Sistemas a Acesso Root e Escape de Container

A vulnerabilidade GhostLock (CVE-2026-43499), que permaneceu dormente no kernel Linux por 15 anos, é um clássico ataque de "use-after-free" localizado no subsistema rtmutex. Especificamente, a falha reside na função remove_waiter(), onde o campo pi_blocked_on de uma tarefa incorreta é limpo durante operações de futex de herança de prioridade (PI). Essa manipulação cria um ponteiro órfão para uma estrutura rt_mutex_waiter alocada na pilha, que se torna inválida após o retorno para o espaço do usuário. Explorando uma dependência cíclica entre threads e variáveis futex, atacantes conseguem forçar um caminho de rollback que invoca remove_waiter() incorretamente, resultando em referências inválidas à memória da pilha liberada.

A cadeia de exploração para acesso root e escape de container é sofisticada. Ela combina técnicas para desviar do Kernel Address Space Layout Randomization (KASLR) via ataques de temporização de prefetch, utiliza regiões de memória CPU Entry Area (CEA) para posicionamento de memória do kernel previsível e manipula tabelas de ponteiros de função, como inet6_protos. Ao sobrescrever o manipulador de protocolo IPv6 UDP, o invasor redireciona a execução para seu código. A etapa final, apelidada de "DirtyMode", modifica bits de permissão de entradas sensíveis do sysctl, como /proc/sys/kernel/core_pattern, permitindo a execução de binários arbitrários com privilégios de root. Esta é a mais recente de uma série de vulnerabilidades críticas no kernel Linux que o CEVIU News vem acompanhando de perto nas últimas semanas, incluindo a "Bad Epoll" (7 de julho de 2026), Januscape (8 de julho de 2026) e "DirtyClone" (1 de julho de 2026).

A GhostLock evoluiu de uma falha obscura e indetectada, presente em versões do kernel Linux desde 2.6.39 (lançada em 2011), para uma ameaça cibernética com um exploit de alta confiabilidade. Embora a vulnerabilidade tenha sido corrigida em abril de 2026, sua exploração pública foi demonstrada no kernelCTF do Google, provando sua eficácia e viabilidade. O que antes era um bug latente e desconhecido, agora se materializa como um vetor de ataque capaz de render mais de US$ 92.000 em recompensas.

A GhostLock é uma preocupação crítica para qualquer organização que utilize Linux, especialmente em ambientes de nuvem, contêineres e hospedagem compartilhada. Sua capacidade de permitir escape de contêineres e escalonamento para acesso root sem a necessidade de privilégios elevados ou namespaces, torna-a uma das vulnerabilidades mais impactantes descobertas nos últimos anos. A longevidade da falha, que existiu por 15 anos antes de ser encontrada e explorada, sublinha o desafio contínuo na segurança de componentes de software de código-fonte aberto e a importância de auditorias de código rigorosas. A alta confiabilidade do exploit, de 97%, significa que a exploração não é teórica, mas uma realidade iminente para sistemas não corrigidos.