Vulnerabilità ed exploit

Il package non basta: l’exploit locale dipende dai knob del kernel

La presenza del pacchetto vulnerabile non basta a dire se il rischio è reale. Qui il punto è un altro: il passaggio a root locale esiste solo dove il kernel espone namespace non privilegiati e le opzioni di traffic-control giuste, quindi la triage basata sulla sola versione può sottostimare l’esposizione.

STAR Labs ha pubblicato exploit code funzionante per CVE-2026-53264, un use-after-free nel sottosistema traffic-control del kernel Linux che colpisce CentOS Stream 9. La falla riguarda una race tra operazioni concorrenti che lascia un thread a usare un oggetto già liberato; il fix upstream è arrivato il 1° giugno 2026 e sono disponibili release corrette nelle linee 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 e 7.0.13, con backport del vendor da preferire al numero di versione upstream.

Su host Linux usati come container host, o su fleet che abilitano user namespaces non privilegiati, questa è una superficie di local escalation concreta: contano la configurazione runtime e i backport del kernel, non solo il pacchetto installato.

2 fonti · 28 lug

CVE-2026-53264

NVD KEV

CVSS 7.8 HIGH: in the Linux kernel, the following vulnerability has been resolved: net/sched: act_api: use RCU with deferred… EPSS 0.2% (15º percentile).

Cronologia

Fonti

Part of the PlainSec briefing for 2026-07-28

Every edition of this story: Il package non basta: l’exploit locale dipende dai knob del kernel

Altro da oggi