הרשומה פורסמה בספטמבר 2018. ב-26 בינואר 2026 היא נכנסה לקטלוג החולשות המנוצלות בפועל, יותר משבע שנים אחר כך. החולשה יושבת בפונקציה create_elf_tables של ליבת לינוקס, זו שמכינה את הטבלה שבה נשמרים הארגומנטים ומשתני הסביבה של תוכנית ברגע שהיא עולה. משתמש מקומי בלי הרשאות מיוחדות, שיכול להפעיל קובץ SUID, יכול לנצל אותה כדי להעלות את הרשאותיו. הציון 7.8.
מה החולשה?
כשמפעילים תוכנית, הליבה מחשבת כמה מקום דרוש לארגומנטים ולמשתני הסביבה שיועברו אליה, ומקצה אזור בגודל הזה. גלישה של מספר שלם היא מצב שבו תוצאת חישוב גדולה מהערך הגדול ביותר שהמשתנה יודע להחזיק, והיא מתגלגלת חזרה למספר קטן. בדיקה שנעשית על התוצאה המגולגלת עוברת בהצלחה דווקא כשהיא הייתה אמורה להיכשל. בסיווג הרשמי זה נקרא גלישה של מספר שלם.
הרכיב השני בסיפור הוא קובץ SUID. זו תוכנית שמסומנת לרוץ בהרשאות של הבעלים שלה ולא בהרשאות של מי שהפעיל אותה, מנגנון רגיל בלינוקס שנועד לאפשר לפעולות מסוימות לפעול בהרשאות גבוהות. הארגומנטים ומשתני הסביבה מגיעים מהמשתמש, אבל התוכנית שמקבלת אותם כבר רצה בהרשאות אחרות. זה החיבור שהופך באג בחישוב גודל להעלאת הרשאות.
הרשומה נזהרת בניסוח כשהיא מגיעה לגרסאות: היא מונה את משפחות 2.6.x, 3.10.x ו-4.14.x ואומרת שההערכה היא שהן חשופות. זו הערכה, לא רשימה סגורה, וכך היא כתובה שם.
מה שהווקטור אומר הוא שהגישה מקומית ושנדרשות הרשאות ברמה בסיסית. כלומר החולשה אינה דלת כניסה. מי שמנצל אותה כבר נמצא במערכת.
מי מושפע?
שתי אוכלוסיות שונות לגמרי, וזה מה שמייחד את הרשומה הזאת.
הראשונה היא מערכות לינוקס שמריצות ליבה ממשפחות הגרסאות שברשומה. אלה בעיקר שרתים ומערכות ותיקות, לא תחנות עבודה מודרניות.
השנייה היא מכשירי F5 BIG-IP, שמריצים ליבת לינוקס מתחת למוצר. הרשומה מפרטת עבורם טווחים מדויקים לכל ענף: מ-11.2.1 עד 11.6.4, מ-12.1.0 עד 12.1.5, מ-13.0.0 עד 13.1.1.5, מ-14.0.0 עד 14.0.1.1 ומ-14.1.0 עד 14.1.0.6. בישראל מכשירי BIG-IP יושבים לפני מערכות של ארגונים גדולים, ובהם גופים פיננסיים וספקיות תקשורת.
האם מנוצלת בפועל?
כן. ב-26 בינואר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-16 בפברואר 2026.
שני פרטים ברשומה מסבירים למה זה סביר. הראשון, קיימת רשומה במאגר Exploit-DB תחת המספר 45516, כלומר קוד ניצול פומבי. השני, בין המקורות מופיעות שתי הודעות ברשימת התפוצה oss-security, אחת מיום הפרסום ב-2018 ואחת מיולי 2021, כלומר הנושא נשאר פתוח שנים אחרי הגילוי.
מה עושים?
בדקו איזו ליבה רצה בפועל, לא איזו מותקנת. הפקודה uname -r מחזירה את גרסת הליבה שהמערכת עלתה איתה. שרת שקיבל עדכון ליבה ולא הופעל מחדש מאז ממשיך להריץ את הישנה, וזה מצב נפוץ במיוחד במכונות שמקפידים לא להפיל.
על BIG-IP, השוו את הגרסה שלכם לטווח של הענף שבו אתם ועברו לגרסה שמעל התקרה שלו, לפי המספרים שברשומה.
וכיוון שהחולשה דורשת חשבון מקומי, שווה לעבור על מי שיש לו כזה. במכונות ותיקות מצטברות עם השנים גישות שאיש כבר אינו זוכר למה נפתחו, וזה בדיוק סוג הגישה שהחולשה הזאת הופכת למשמעותית.
הדיון המקורי סביב הגילוי נמצא ברשימת oss-security.