CVE-2026-43502: bug RDS zero-copy permette escalation a root su Linux dal 2018

Il 21 settembre 2026 NebuSec ha reso pubblica CVE-2026-43502, una vulnerabilità di privilege escalation locale nel sottosistema RDS zero-copy send path del kernel Linux. Il fix upstream, commit 44b550d88b26, era già disponibile dal kernel 7.1-rc3 di maggio 2026. L'intervallo tra correzione silenziosa e disclosure con nome identificativo espone un pattern sistematico: organizzazioni che non tracciano commit kernel restano vulnerabili per mesi anche quando il codice corretto esiste già.

Il meccanismo: quando il cleanup zero-copy sbaglia percorso

La vulnerabilità risiede nel sottosistema Reliable Datagram Sockets (RDS), implementazione del protocollo Oracle per comunicazione intra-cluster a bassa latenza. Il percorso zero-copy send path promette efficienza evitando copie intermedie tra spazio utente e kernel. Il difetto emerge in una condizione di timing specifica.

"when a zero-copy send operation fails after the kernel has already pinned the sending process's memory pages but before the message is properly attached to the socket, the cleanup routine releases those pages through the wrong mechanism"

Questo errore di sequenza lascia pagine memoria in uno stato inconsistente. Attraverso allocazioni successive controllate dall'attaccante, la corruzione evolve in primitive di scrittura arbitraria nel kernel space. Da lì, l'escalation a root è diretta. Le fonti primarie concordano: il bug non richiede capacità Linux speciali né user namespaces privilegiati, restringendo il campo delle mitigazioni standard.

La window of exposure: otto anni di codice vulnerabile

Il codice affetto entra nel kernel con la versione 4.17, rilasciata nel 2018. Otto anni rappresentano una superficie di attacco eccezionalmente ampia per una vulnerabilità locale. Ogni distribuzione che ha mantenuto RDS abilitato — configurazione comune in ambienti server e cloud per workload che sfruttano comunicazione inter-nodo — ha potenzialmente esposto il bug.

Le configurazioni vulnerabili richiedono quattro opzioni kernel attivate: CONFIG_INET, CONFIG_AIO, CONFIG_RDS, CONFIG_RDS_TCP. Secondo Cyberpress, che cita la mailing list Openwall, la disabilitazione degli unprivileged user namespaces — mitigazione raccomandata per altre classi di bug LPE kernel — non arresta questa vulnerabilità. L'attaccante opera senza necessità di creare namespace, bypassando uno strato difensivo ormai standard.

Il gap silent-fix: corretto a maggio, pericoloso fino a settembre

Il commit 44b550d88b26 integra il fix nella mainline con il kernel 7.1-rc3, disponibile da maggio 2026. Tecnicamente, il problema era risolto. Operativamente, rimaneva invisibile. Senza advisory, CVE o menzione nel changelog di sicurezza, la maggior parte delle organizzazioni non ha strumenti per correlare commit kernel generici alle proprie priorità di patching.

Yuan Tan di NebuSec ha identificato la vulnerabilità attraverso una pipeline automatica di exploit generation che ha prodotto oltre venti bug kernel, incluso CVE-2026-43502. La scoperta sistematica suggerisce che altre correlazioni commit-disclosure potrebbero emergere. Ubuntu ha reagito con tracking entry entro circa ventiquattro ore dalla disclosure del 21 settembre. Le fonti primarie non dettagliano tempistiche analoghe per Red Hat, SUSE o Debian.

Cosa fare adesso

• Verificare la presenza di CONFIG_RDS e CONFIG_RDS_TCP nelle configurazioni kernel attive, con particolare attenzione ai sistemi che non tracciano commit mainline.
• Confermare che i kernel in esecuzione derivino dalla linea 7.1-rc3 o successiva, o che le distribuzioni abbiano backportato il commit 44b550d88b26.
• Rivalutare l'utilità di disabilitare gli unprivileged user namespaces come unica barriera per le LPE kernel: la fonte documenta esplicitamente che questa misura non mitiga CVE-2026-43502.
• Ispezionare i workload multi-tenant dove un container o processo compromesso potrebbe sfruttare il bug per escalation a root host.

Il problema dei silent fix nel ciclo di vita kernel

ZcopyReaper non è un caso di vendor che nasconde una vulnerabilità. È l'opposto: sviluppatori upstream che correggono codice senza classificarlo come fix di sicurezza. Il modello di sviluppo kernel, basato su migliaia di commit per release, non garantisce tagging sistematico dei fix di sicurezza. Il risultato è una classe di vulnerabilità "disclosure-delayed": il pericolo esiste, la soluzione esiste, ma la consapevolezza manca.

Per i provider cloud multi-tenant, il rischio è geometrico. Un workload compromesso in un container o una VM condivisa può sfruttare il bug per escape a root host. Il PoC validato da NebuSec su kernel openSUSE dimostra riproducibilità su distribuzione enterprise, non solo su mainline sperimentale. Il CVSS 7.8, con vettore locale ma impatto completo su confidenzialità, integrità e disponibilità, riflette esattamente questo profilo: attacco a bassa complessità, alta ricompensa.

Il dossier non documenta exploitation attiva confermata in-the-wild. Tuttavia, la combinazione di PoC pubblico, otto anni di kernel affetti e assenza di mitigazione standard sposta il calcolo del rischio verso l'assunzione di compromissione plausibile piuttosto che attesa di evidenza.

FAQ

Fonti

• https://tech-insider.org/zcopyreaper-linux-kernel-cve-2026-43502-2026/
• https://blog.rankiteo.com/lin1789461319-linux-kernel-vulnerability-september-2026/
• https://cyberpress.org/linux-kernel-zcopyreaper-vulnerability/
• https://www.helpnetsecurity.com/2026/09/20/week-in-review-cisco-patches-exploited-email-gateway-0-day-revolut-breach/
• https://www.openwall.com/lists/oss-security/
• https://cybersecuritynews.com/weekly-cybersecurity-newsletter-sept-21/
• https://www.cve.org/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti