Lỗ hổng Linux kernel “Bad Epoll” (CVE-2026-46242) cho phép leo thang đặc quyền lên root
"A newly disclosed Linux kernel privilege-escalation flaw, CVE-2026-46242 (“Bad Epoll”), allows unprivileged local users to gain root via a use-after-free race in epoll cleanup code. The issue affects Linux kernels 6.4 and newer, including Android and Chrome sandbox attack scenarios, and is fixed by upstream commit a6dc643c6931 or vendor backports; no active exploitation has been reported."
Lỗ hổng có thể dẫn đến chiếm quyền root từ tài khoản cục bộ thông qua use-after-free trong epoll; mức độ rủi ro tăng do có thể liên quan đến Chrome sandbox và ảnh hưởng Android. Chưa thấy khai thác thực tế, nhưng điều kiện khai thác phụ thuộc thời điểm và có PoC công khai.
Tác động vận hành chủ yếu đến các hệ thống Linux/Android dùng kernel 6.4+, đặc biệt khi có người dùng cục bộ hoặc bề mặt sandbox/container. Không có workaround ngoài cập nhật, nên rủi ro tăng nếu chu kỳ vá chậm hoặc thiết bị phụ thuộc vào backport.
Một lỗ hổng mới trong Linux kernel “Bad Epoll” (CVE-2026-46242) có thể cho phép người dùng cục bộ không có đặc quyền leo thang để giành quyền root. Nguyên nhân là lỗi use-after-free trong mã dọn dẹp của epoll, xảy ra khi hai luồng xử lý đồng thời cùng giải phóng và ghi vào một đối tượng kernel, dẫn đến khả năng làm hỏng bộ nhớ kernel rồi thực thi leo thang đặc quyền.
Về phạm vi ảnh hưởng, lỗi tác động đến các kernel Linux 6.4 trở lên, bao gồm cả môi trường Android. Bài viết cho biết có thể kích hoạt trong bối cảnh Chrome renderer sandbox và cũng có thể ảnh hưởng đến các kịch bản liên quan đến sandbox.
Cơ chế khai thác phụ thuộc mạnh vào thời điểm: cửa sổ va chạm chỉ khoảng 6 lệnh máy, nên tấn công ngẫu nhiên khó thành công. Nghiên cứu sinh đã mở rộng cửa sổ và thử lại nhiều lần, đạt tỷ lệ thành công khoảng 99% trên hệ thống được kiểm thử. Hiện chưa ghi nhận dấu hiệu khai thác thực tế; chỉ có proof-of-concept từ kernelCTF.
Khuyến nghị: cập nhật bản vá theo upstream commit a6dc643c6931 hoặc bản backport của nhà cung cấp; nếu hệ thống chạy kernel từ 6.4+ thì cần rà soát đã áp dụng bản sửa hay chưa. Không có cách tắt epoll như một biện pháp thay thế.