【安全圈】Linux内核漏洞＂ssh-keysign-pwn＂允许攻击者窃取SSH密钥与影子密码文件

最新披露的Linux内核漏洞正引发安全界高度关注，该漏洞允许攻击者在受影响系统上获取SSH私钥和密码哈希等高度敏感数据。编号为（CVE-2026-46333）的漏洞被命名为"ssh-keysign-pwn"，影响范围涵盖多个主流Linux发行版。

漏洞技术原理

该漏洞源于Linux内核ptrace访问控制逻辑中的__ptrace_may_access()函数缺陷。这套机制本应限制进程间的相互检视与交互，但内核"dumpability"检查存在的逻辑缺陷会引发危险的竞态条件。

当特权进程（如ssh-keysign或chage）关闭时，会存在短暂的时间窗口——其内存上下文已被清除（mm = NULL）但文件描述符仍未关闭。攻击者可在此期间利用pidfd_getfd()窃取文件描述符，从而绕过权限检查获取敏感文件访问权。

潜在危害

包括Qualys在内的安全机构警告该漏洞可能导致：

• SSH私钥失窃使攻击者能伪装系统或用户身份
• 在密钥轮换前持续实施中间人攻击(MitM)
• 完全读取/etc/shadow文件获取密码哈希进行离线破解
• 利用窃取凭证在基础设施内横向移动

由于SSH密钥常在多环境重复使用，单个系统沦陷可能引发连锁反应。

受影响系统

2026年5月14日前发布内核的Linux发行版均受影响，包括：

• Ubuntu
• Debian
• Arch Linux
• CentOS
• Raspberry Pi OS

该漏洞已潜伏六年之久，大量长期运行系统面临风险。

漏洞根源

内核处理无内存上下文进程时存在缺陷。"dumpability"标志本用于控制核心转储，却被错误复用于ptrace检查。当进程退出时，内存释放与文件描述符清理存在时间差，内核未能在此过渡态正确实施访问限制。

据Clandestine披露，补丁通过强化逻辑校验并要求显式特权（如CAP_SYS_PTRACE）来修复此问题。

缓解措施

建议企业立即采取以下措施：

• 部署修复（CVE-2026-46333）的内核补丁
• 轮换所有SSH密钥（关键系统优先）
• 审计/etc/shadow等敏感文件访问记录
• 监控可疑的ptrace或pidfd系统调用
• 尽可能限制本地用户权限（漏洞利用需本地访问）

目前GitHub已出现公开PoC利用代码，大幅提高了野利用风险。该事件警示我们：细微的内核逻辑缺陷可能引发深远的安全影响。即使没有远程访问权限，攻击者也能通过本地立足点提权并窃取关键凭证。作为云环境与企业安全访问的核心组件，SSH私钥泄露带来的高风险不容忽视。