systemd-machined 未授权终止进程漏洞(CVE-2026-1500)详解

漏洞概述 漏洞名称: systemd-machined: unprivileged users can terminate arbitrary processes CVE ID: CVE-2026-1500 严重程度: 4.7 / 10 描述: 当 systemd-machined >= v259（或 v258 带有自定义 polkit 策略允许 register-machine 访问）在桌面系统上运行时，未特权用户登录桌面图形会话可以终止任意进程，仅受特权限制。 影响范围 受影响版本: >= 259 不受影响版本: - 版本 < v259 不受影响，除非通过本地自定义 polkit 策略文件授予 register-machine polkit 动作的未特权访问。 - 版本 < v258 不受影响。 - 与 systemd 服务管理器（pid 1 或用户会话管理器）无关。 - systemd-machined 通常不是默认安装的，通常作为可选的单独包（例如：systemd-container）安装。 - 仅终端或远程会话（例如：ssh）不受影响。 修复方案 补丁版本: 262, 261.2, 260.4, 259.8, 258.10 临时解决方案: 通过仅允许特权用户访问来限制访问，通过创建 文件并添加以下内容： 原始报告 声明: systemd-machined 允许本地未特权、活动会话用户向 root 发送任意信号，到任何非 PID-1 进程，如果它不拥有 所有权检查的机器领导者 pid，但攻击者提供的监督者 pid 由 与 转发，然后从 root 调用 到 ，并且 polkit 动作在 Kill 上被短路，因为 因为 等于注册调用者的 own uid。 Sink (文件在 HEAD 8a9137a.c): 监督者 pidfd 是在 中获取的，没有相应的 。上游添加的 管理快速路径在此相同组合中是管理快捷方式——它不关闭未特权攻击者的漏洞，该攻击者以 为假到达此分支，并且仍然是领导者检查。 攻击者 + 信任边界: 本地未特权活动会话用户。边界： 。攻击者的 own 会话合法地满足 。 确切可观察: 无崩溃——授权边界交叉。一个 root 拥有的、非 PID-1 进程接收攻击者的信号（例如 SIGKILL）并被终止（Killed）。判别器是异步性：相同的 root 拥有的 PID 在作为领导者时会被拒绝，但在作为监督者时会被接受（所有权检查缺失），随后的 root 上下文 Kill 成功。 最小化重现: 使用真实的 systemd-machined（system scope，thus + polkit enabled）拥有 ，作为未特权用户（uid 1001）通过 varlink 进行： 1. 负控制: 注册一个领导者是 root 拥有的 PID 的机器——machined 返回 Permission denied（领导者所有权检查失败）。 2. 攻击步骤 A: 注册一个领导者是攻击者的 own PID 之一且监督者是 root 拥有的目标 PID（例如 1000）的机器，并注册（Killed）。注册成功（攻击步骤 B）。 3. 攻击步骤 B: 调用 与 ，signal=9——返回 0，OS 终止 root 拥有的目标（“spid” Killed）。 root 拥有的 PID 被未特权用户通过 root machined（诚实的漏洞，由底层证明，由发行版分发，将此端发送到已推送 polkit 0.105，不理解现代 unix-process pidfd 主体字段系统发送，machined 的 live register-machine polkit 查询错误在工具-级回退不匹配。 独立返回错误 0 对于活动会话，确认前提条件被真诚地授予：一个 POC-only shim 模拟了该授予以运行 end-to-end。shim 触及仅注册前提条件门——领导者注册/失败/ 逻辑是几乎相同的 HEAD，负控制证明领导者所有权执行没有被削弱！ 具体修复: 添加 镜像领导者检查（在 处与 ），并且不要调用 为 Kill 路径放行 门。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

systemd-machined 未授权终止进程漏洞(CVE-2026-1500)详解

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

systemd-machined 未授权终止进程漏洞(CVE-2026-1500)详解

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！