Se ha publicado un exploit para una vulnerabilidad sin parchear en Ubuntu Linux que permite escapar de un contenedor con privilegios de root del host

La firma de se­gu­ri­dad Depth­First pu­bli­có una in­ves­ti­ga­ción sobre un fallo de tipo use-after-free en el sub­sis­te­ma de soc­kets AF_UNIX del nú­cleo de Linux, re­gis­tra­do con el iden­ti­fi­ca­dor CVE-2026-80521 y una pun­tua­ción CVSS de 7.8. Esta de­bi­li­dad per­mi­te es­ca­par de un con­te­ne­dor para ob­te­ner pri­vi­le­gios de root en el sis­te­ma ope­ra­ti­vo an­fi­trión. Aun­que el par­che co­rres­pon­dien­te fue so­lu­cio­na­do en la rama prin­ci­pal y en una rama es­ta­ble, Ubun­tu aún no ha dis­tri­bui­do la ac­tua­li­za­ción para va­rias de sus ver­sio­nes, y la pro­pia firma ya ha pu­bli­ca­do có­di­go de ex­plo­ta­ción en­fo­ca­do en Ubun­tu 26.04.

El pro­ble­ma ra­di­ca en el re­co­lec­tor de ba­su­ra del nú­cleo en­car­ga­do de lim­piar los des­crip­to­res de ar­chi­vos que se trans­mi­ten entre pro­ce­sos a tra­vés de men­sa­jes SCM_RIGHTS. De­bi­do a una con­di­ción de ca­rre­ra, el re­co­lec­tor puede li­be­rar de forma erró­nea una parte de un grupo de soc­kets vin­cu­la­dos, per­mi­tien­do que un ciclo pos­te­rior ac­ce­da a me­mo­ria li­be­ra­da. Dado que los con­te­ne­do­res en Doc­ker y Ku­ber­ne­tes per­mi­ten por de­fec­to la co­mu­ni­ca­ción local me­dian­te estos soc­kets a tra­vés de lla­ma­das or­di­na­rias al sis­te­ma, el fallo es ac­ce­si­ble desde el in­te­rior del con­te­ne­dor y logra eva­dir las res­tric­cio­nes de ais­la­mien­to de es­pa­cios de nom­bres, lí­mi­tes de cgroup y fil­tros sec­comp.

El error afec­ta a ver­sio­nes es­pe­cí­fi­cas del nú­cleo a par­tir de la in­tro­duc­ción del có­di­go vul­ne­ra­ble, abar­can­do pa­que­tes en dis­tin­tas ver­sio­nes de Ubun­tu, in­clui­das car­gas de tra­ba­jo en ser­vi­cios en la nube. Hasta el mo­men­to no exis­ten in­for­mes con­fir­ma­dos de ata­ques reales ni la vul­ne­ra­bi­li­dad fi­gu­ra en el ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das. Como me­di­da tem­po­ral ante la falta de par­ches ofi­cia­les por parte de la dis­tri­bu­ción, se acon­se­ja tras­la­dar las car­gas de tra­ba­jo que no sean de con­fian­za a en­tor­nos de ais­la­mien­to me­dian­te mi­croVMs, tales como Fi­re­crac­ker o Kata Con­tai­ners.