systemd-machined unprivileged user arbitrary process termination vulnerability (CVE-2026-1500) analysis

漏洞概要 漏洞名称: systemd-machined: 非特权用户可终止任意进程 CVE ID: CVE-2026-1500 严重程度: 4.7 / 10 描述: 当 systemd-machined >= v259（或带有允许 register-machine 访问的自定义 polkit 策略的 v258）在桌面系统上运行时，登录桌面图形会话的非特权用户可以终止任意进程，仅受特权限制。 影响范围 受影响版本: >= 259 不受影响版本: - 版本 < v259 不受影响，除非通过本地自定义 polkit 策略文件授予 register-machine polkit 动作的非特权访问。 - 版本 < v258 不受影响。 - 与 systemd 服务管理器（PID 1 或用户会话管理器）无关。 - systemd-machined 通常并非默认安装，通常作为可选的独立包（例如：systemd-container）安装。 - 仅限终端或远程会话（例如：ssh）不受影响。 修复方案 补丁版本: 262, 261.2, 260.4, 259.8, 258.10 临时解决方案: 通过仅允许特权用户访问来限制访问，通过创建 文件并添加以下内容： 原始报告 声明: 如果未拥有 所有权检查的机器领导者 PID，systemd-machined 允许本地非特权活动会话用户向任意非 PID-1 进程发送任意信号给 root 进程。但攻击者提供的监督者 PID 由 配合 转发，随后以 root 身份调用 执行 ，并且由于注册者的 UID 等于 ， polkit 动作在 Kill 操作中被短路，因为 返回真值。 Sink (文件位于 HEAD 8a9137a.c): 监督者 PIDFD 通过 获取，但没有相应的 。上游添加的 管理快速路径在此相同组合中是管理快捷方式——它并未关闭非特权攻击者的漏洞，该攻击者以 为假到达此分支，且领导者检查仍然生效。 攻击者 + 信任边界: 本地非特权活动会话用户。边界： 。攻击者的 own 会话合法地满足 。 确切可观察: 无崩溃——授权边界交叉。由 root 拥有的、非 PID-1 进程接收攻击者的信号（例如 SIGKILL）并被终止（Killed）。判别器是异步性：相同的 root 拥有 PID 作为领导者时会被拒绝，但作为监督者时会被接受（缺乏所有权检查），随后的 root 上下文中的 Kill 成功。 最小化复现: 使用真实的 systemd-machined（system scope，因此 + 启用 polkit）拥有 ，作为非特权用户（UID 1001）通过 varlink 执行： 1. 负控制: 注册一个领导者是 root 拥有 PID 的机器——machined 返回权限被拒绝（领导者所有权检查失败）。 2. 攻击步骤 A: 注册一个领导者是攻击者 own PID 之一且监督者是 root 拥有目标 PID（例如 1000）的机器，并注册（Killed）。注册成功（攻击步骤 B）。 3. 攻击步骤 B: 调用 配合 ，signal=9——返回 0，OS 终止 root 拥有目标（“spid” 被 Killed）。 由 root 拥有的 PID 被非特权用户通过 root machined 终止（诚实的漏洞，由底层证明，由发行版分发，将此端发送到已推送 polkit 0.105，该系统不理解现代 unix-process pidfd 主体字段，machined 的 live register-machine polkit 查询错误在工具级回退中不匹配。 独立地为活动会话返回错误 0，确认前提条件被真诚地授予：一个仅用于 POC 的 shim 模拟了该授权以进行端到端运行。shim 仅触及注册前提条件门——领导者注册/失败/ 逻辑在 HEAD 中几乎相同，负控制证明领导者所有权执行未被削弱！ 具体修复: 添加 以镜像领导者检查（在 处返回 ），并且不在 Kill 路径上调用 来放行 门。

目標達成すべての支援者に感謝 — 100%達成しました！

systemd-machined unprivileged user arbitrary process termination vulnerability (CVE-2026-1500) analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

systemd-machined unprivileged user arbitrary process termination vulnerability (CVE-2026-1500) analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！