🚀 CVE-2026-46333 - ssh-keysign-pwn

Linux 커널 레이스 컨디션 취약점에 대한 고품질 개념 증명

CVE-2026-46333에 대한 깔끔하고 신뢰할 수 있는 개념 증명 익스플로잇 — Linux 커널 프로세스 종료 경로의 레이스 컨디션을 통한 로컬 정보 공개.

🖼️ 스크린샷

Kali Linux에서 SSH 호스트 개인 키와 /etc/shadow 탈취 성공

📌 취약점 정보

CVE-2026-46333 (일명 ssh-keysign-pwn)은 Linux 커널의 ptrace 및 프로세스 종료 로직(do_exit() → exit_mm() 이후 exit_files())에 존재하는 레이스 컨디션입니다.

권한 있는 프로세스(예: SUID ssh-keysign 또는 chage)가 종료 중 mm == NULL 상태일 때 덤프 가능 여부 검사가 우회되어, 권한 없는 로컬 공격자가 pidfd_getfd()를 사용하여 열린 파일 디스크립터를 탈취할 수 있습니다.

영향:

SSH 호스트 개인 키 탈취 (/etc/ssh/ssh_host_*_key)
/etc/shadow 덤프
탈취한 자격 증명을 이용한 추가 공격 가능성

발견: Qualys
수정 커밋: 커널 커밋 31e62c2ebbfdc3fe3dbdf5e02c92a9dc67087a3a (2026년 5월)

✨ 기능

독창적인 깔끔한 코드 (기존 저장소에서 복사하지 않음)
높은 성공률
두 가지 작동 익스플로잇:
- SSH 호스트 개인 키 탈취기
- chage를 통한 /etc/shadow 탈취기
진행 상황 피드백이 있는 깔끔한 출력
외부 의존성 없음
주석이 잘 작성됨

🛠️ 사용 방법

1. 클론 및 빌드

git clone https://github.com/0xBlackash/CVE-2026-46333.git
cd CVE-2026-46333

2. SSH 호스트 키 익스플로잇 실행

sudo ./CVE-2026-46333

3. 섀도 파일 익스플로잇 실행

sudo ./CVE-2026-46333-shadow

📂 파일 목록

File	Description
`cve-2026-46333.c`	SSH 호스트 개인 키 탈취기
`cve-2026-46333-shadow.c`	`chage`를 통한 `/etc/shadow` 탈취기
`README.md`	이 파일

📖 예시 출력

SSH 키 탈취기:

[+] SUCCESS! Stolen fd 3 -> /etc/ssh/ssh_host_ecdsa_key (round 0)
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjEAAAAABG5vbmUAAAAEbm9uZQAAAAAAAAAB...

섀도 탈취기:

[+] SUCCESS! Stolen /etc/shadow (round 0)
root:*:19953:0:99999:7:::
kali:$y$j9T$zY1oKFxJlTgP2WcJhzbNl1$...

🛡️ 완화 방법

커널을 커밋 31e62c2ebbfd...을 포함하는 버전으로 업데이트하세요.
권장: 배포판에서 제공하는 최신 안정 커널 사용
필요하지 않다면 sshd_config에서 EnableSSHKeysign 비활성화

⚠️ 법적 고지

이 익스플로잇은 교육 및 보안 연구 목적으로만 제공됩니다.
소유한 시스템 또는 명시적 서면 허가를 받은 시스템에서만 사용하세요.
저자는 어떠한 오용이나 손해에 대해 책임을 지지 않습니다.

⭐ 크레딧

취약점: Qualys
PoC 개발: Ashraf Zaryouh ""0xBlackash""
원본 연구: 여러 커널 연구자들

📜 라이선스

이 프로젝트는 MIT 라이선스 하에 배포됩니다 — 자유롭게 사용, 수정, 배포할 수 있습니다.

보안 커뮤니티를 위해 ❤️로 제작됨

시스템을 최신 상태로 유지하는 것이 최선의 방어입니다.

CVE-2026-46333

인기