Błąd w systemie Epoll: sztuczna inteligencja firmy Anthropic przeoczyła tę podstawową lukę w zabezpieczeniach

Badacz ds. bezpieczeństwa Jaeyoung Chung ujawnił lukę w jądrze systemu Linux, która umożliwia zwykłemu użytkownikowi bez uprawnień przejęcie pełnej kontroli nad systemem. Luka o nazwie „Bad Epoll”, oficjalnie oznaczona jako CVE-2026-46242, dotyczy komputerów stacjonarnych z systemem Linux, serwerów oraz urządzeń typu „ Android ”. Dostępna jest już poprawka. Sprawa ta jest szczególnie godna uwagi ze względu na pewien epizod: sztuczna inteligencja przeanalizowała już kod, którego dotyczyła luka, i przeoczyła tę podatność.

Jak działa „Bad Epoll”

Luka znajduje się w podsystemie epoll, który jest podstawową funkcją umożliwiającą programom jednoczesne monitorowanie wielu plików i połączeń sieciowych. Serwery, usługi sieciowe i przeglądarki korzystają z niego nieustannie, a funkcji tej nie można wyłączyć. „Bad Epoll” to błąd typu „use-after-free”: dwie ścieżki jądra czyszczą ten sam obiekt wewnętrzny w tym samym czasie – jedna zwalnia pamięć, podczas gdy druga nadal do niej zapisuje. Ta krótka kolizja wystarcza do manipulacji pamięcią jądra i eskalacji uprawnień z konta zwykłego do konta root.

Kluczową kwestią jest synchronizacja. Okno, w którym dochodzi do kolizji obu ścieżek, ma szerokość zaledwie około sześciu instrukcji maszynowych. Eksploit autorstwa Chunga poszerza to okno i kontynuuje próby bez powodowania awarii, aż do uzyskania uprawnień root na testowanych systemach w około 99% przypadków. Dwa szczegóły sprawiają, że ta luka jest poważniejsza niż typowe błędy jądra: według Chunga można ją wywołać z piaskownicy renderera przeglądarki Chrome, a ponadto obejmuje ona funkcję ` Android` — czego nie dotyczy większość luk w systemie Linux.

Dlaczego sztuczna inteligencja przeoczyła tę lukę

?

Obie kwestie wynikają z jednej zmiany w kodzie z 2023 roku, dotyczącej zaledwie 2500 wierszy kodu epoll. Model sztucznej inteligencji firmy Anthropic, Mythos, wykrył pierwszą z dwóch sytuacji wyścigu i zgłosił ją jako CVE-2026-43074. Był to prawdziwy sukces, ponieważ tego typu błędy wyścigu są uważane za trudne do wykrycia. Model nie wykrył jednak drugiego z nich, tzw. „Bad Epoll”. Ostatecznie odkrył go badacz Jaeyoung Chung i opracował działający atak wykorzystujący tę lukę.

Chung podaje dwie możliwe przyczyny tego niedopatrzenia, nie opowiadając się jednak jednoznacznie za żadną z nich. Okno czasowe jest tak niewielkie, że trudno wyobrazić sobie dokładną sekwencję zdarzeń, nawet analizując kod. Ponadto po załataniu pierwszej luki błąd „Bad Epoll” zazwyczaj nie uruchamiał już detektora błędów pamięci KASAN, pozbawiając model śladów wykonania. Przypadek ten ukazuje obie strony medalu: sztuczna inteligencja potrafi wykrywać złożone błędy jądra, ale nadal może zawieść w przypadku subtelnych sytuacji wyścigu.

Kogo to dotyczy i co należy zrobić

Problem dotyczy wersji jądra od 6.4 wzwyż, o ile nie wprowadzono jeszcze poprawki. Starsze systemy oparte na Linuksie 6.1 są bezpieczne, w tym niektóre urządzenia z serii „ Android ”, takie jak Pixel 8, ponieważ wadliwy kod został dodany dopiero po tej gałęzi. Według Chunga trwają nadal prace nad exploitem typu „ Android ”. Istnieją pewne powody do optymizmu co do bezpośredniego zagrożenia: jak dotąd nie ma żadnych oznak ataków w środowisku naturalnym, a jedynym działającym kodem jest proof of concept z programu kernelCTF firmy Google. Co również ważne: atakujący musi już posiadać lokalny dostęp do urządzenia, ponieważ luki nie da się wywołać zdalnie.

Użytkownicy, którzy instalują poprawki ręcznie, powinni zastosować commit a6dc643c6931 z głównego repozytorium. Pozostali powinni poczekać na backport udostępniony przez swoją dystrybucję i niezwłocznie go zainstalować. Ponieważ funkcji epoll nie można wyłączyć, nie ma żadnego rozwiązania tymczasowego – problem można rozwiązać wyłącznie poprzez aktualizację.