Linux, il driver mainframe emulato diventa un varco per l'escalation a root

Il 28 settembre 2026, ricercatori di XBOW hanno reso pubblico un exploit funzionante per CVE-2026-72018, una vulnerabilità nel kernel Linux che sfrutta un driver di compatibilità mainframe per ottenere privilegi di root. La falla risiede nel codice che emula su architettura x86 il protocollo SMC-D, originariamente progettato per hardware IBM Z: una dimostrazione concreta di come i layer di virtualizzazione espandano la superficie d'attacco oltre i confini previsti dal modello di minaccia originale.

Il meccanismo: quando l'emulazione elimina i controlli hardware

Il protocollo SMC-D (Shared Memory Communications - Direct) è stato concepito per sistemi IBM Z e ISM (Internal Shared Memory), dove l'hardware gestisce nativamente i limiti delle regioni di memoria condivisa. Il driver dibs_loopback implementa un trasporto virtuale che replica questo comportamento su Linux standard, rendendo SMC-D disponibile su architettura x86 senza hardware specializzato.

La funzione move_data() copia dati tramite memcpy() senza verificare che offset + size rientri nella lunghezza del buffer DMB (Direct Memory Buffer). Secondo il record CVE-2026-72018 su CVE.org, "il loopback move_data() esegue una memcpy nel DMB registrato senza controllare se offset + size supera la lunghezza del DMB". Il record prosegue: "A differenza dell'hardware ISM reale, che impone nativamente i limiti delle regioni di memoria, il loopback software non dispone di tale protezione".

I campi dmbe_idx e dmbe_size, controllati dal peer durante il handshake CLC (Connection Link Control), influenzano il calcolo dell'offset senza alcuna validazione. Il risultato è una primitiva di scrittura limitata: 16 byte di zeri a un offset parzialmente controllabile, allineato a 16 KB.

Dal primitive ristretto alla shell di root: la catena di XBOW

XBOW ha trasformato questa primitiva apparentemente debole in un'esecuzione di codice con privilegi elevati. L'exploit richiede capacità CAP_NET_ADMIN per configurare SMC-D e per intercettare il traffico CLC. I ricercatori hanno utilizzato una regola nftables NFQUEUE per catturare i pacchetti di handshake, modificarne i campi, ricalcolare i checksum e reiniettarli nel flusso.

La tecnica di escalation passa attraverso il "heap grooming": posizionare un oggetto cred del kernel immediatamente dopo il buffer vulnerabile, quindi azzerare i campi euid, egid, suid e sgid del processo bersaglio. Questo meccanismo è documentato sia nel report XBOW che nell'analisi tecnica di GBHackers, che cita i risultati dei test.

Secondo GBHackers, citando i dati XBOW, "di 100 avvii separati, i privilegi di root sono stati ottenuti in 22 istanze, con la prima escalation avvenuta al settimo avvio". Il record CVE.org conferma che la correzione aggiunge "un controllo esplicito dei limiti prima della memcpy per rifiutare tali richieste con -EINVAL".

"XBOW ha trovato e sfruttato CVE-2026-72018, un bug del kernel Linux che i revisori umani avevano trascurato. La primitiva sembrava troppo debole per importare, ma non lo era."

Versioni affette e non affette: il quadro di NVD

Secondo NVD, il codice vulnerabile è stato introdotto con il commit f7a22071dbf316c982fb44308874bd7ad9ac2091. Le prime versioni non affette sono 6.12.97 e successive, 6.18.40 e successive, 7.1.5 e successive. Questi numeri provengono dal record NVD, che GBHackers riporta concordemente.

Red Hat ha pubblicato un advisory specifico con classificazione CWE-787. Il vendor dichiara esplicitamente che tutte le versioni RHEL dalla 6 alla 10 sono "Not affected", con la motivazione "Vulnerable Code not Present". Questa esclusione è rilevante per gli amministratori di infrastrutture enterprise, ma non riduce la criticità per le distribuzioni community o custom che includono il driver dibs_loopback.

Cosa fare adesso

• Verificare se il driver dibs_loopback è caricato nel sistema con lsmod | grep dibs e, in caso affermativo, valutare se SMC-D sia effettivamente necessario per i carichi di lavoro
• Aggiornare alle versioni kernel 6.12.97+, 6.18.40+ o 7.1.5+ secondo il proprio ramo di manutenzione, controllando che il changelog includa esplicitamente il controllo dei limiti in move_data()
• Rivedere i profili di capacità assegnati agli utenti e ai container che dispongono di CAP_NET_ADMIN, riducendo al minimo chi effettivamente richiede tale privilegio per operare SMC-D
• Considerare che l'exploit XBOW è stato testato con mitigazioni disabilitate: il passo a un ambiente con mitigazioni attive non è garantito come barriera, ma modifica significativamente il profilo di rischio rispetto ai dati di laboratorio pubblicati

Il paradosso della compatibilità: hardware assente, minaccia presente

Il caso CVE-2026-72018 illustra un pattern sistemico nei layer di astrazione hardware. Codice originariamente protetto da vincoli fisici—qui, i limiti di memoria imposti dal silicio IBM—perde quelle garanzie quando viene emulato in software. La frase di XBOW è precisa: "Il codice kernel 'praticamente irraggiungibile' diventa una superficie d'attacco ordinaria nel momento in cui qualcuno utilizza un trasporto virtuale per esso".

La scoperta solleva questioni sulle revisioni di sicurezza applicate ai driver di compatibilità. Se il codice SMC-D è stato esaminato per minacce in ambienti mainframe, l'analisi non ha previsto lo scenario in cui un attore locale con privilegi di amministrazione di rete manipoli i parametri del peer virtuale. Il modello di minaccia originale presupponeva hardware attendibile; la virtualizzazione ha rimosso quella premessa senza aggiornare i controlli di confine.

Per i team di sicurezza, la lezione non è specifica di SMC-D. Ogni driver che replica in software comportamenti hardware—specialmente quelli legati alla gestione della memoria o ai protocolli di trasporto—merita una revisione sotto il presupposto che l'interfaccia peer sia potenzialmente ostile. Il 22% di affidabilità con mitigazioni disabilitate non è un rischio immediato per la maggior parte delle produzioni, ma la disponibilità pubblica dell'exploit cambia la dinamica per sistemi multiutente dove l'accesso locale è già compromesso.

Domande frequenti

Fonti

• https://gbhackers.com/linux-kernel-cve-2026-72018-flaw/
• https://xbow.com/blog/no-time-to-pwn-cve-2026-72018
• https://access.redhat.com/security/cve/cve-2026-72018
• https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html
• https://www.cve.org/CVERecord?id=CVE-2026-72018
• https://nvd.nist.gov/vuln/detail/CVE-2026-72018
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-72018.json
• https://gbhackers.com/poc-released-for-linux-pam-flaw/
• https://gbhackers.com/new-kimi-k3-ai-agent-uncovers-redis-remote-code-execution-flaws/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti