CVE-2026-72183

Nome do Software Vulnerável e Versões Afetadas Linux kernel (versões afetadas não especificadas)

Descrição Existe uma falha de bypass no módulo de segurança Landlock relacionada à restrição LANDLOCK SCOPE SIGNAL, que visa impedir que processos em sandbox enviem sinais para processos fora de seu domínio Landlock. Este bypass ocorre através do caminho de entrega assíncrona SIGIO. Um processo em sandbox que possua um arquivo ou socket pode usar fcntl() com F SETOWN, F SETSIG e O ASYNC para fazer com que o kernel entregue sinais a todo um grupo de processos. Se o grupo incluir um processo que não esteja em sandbox, como um supervisor ou monitor de segurança, a sandbox poderá sinalizar ou encerrá-lo.

O problema decorre do fato de control current fowner() ignorar o registro do domínio Landlock quando o alvo está no grupo de threads do chamador, o que é seguro apenas para alvos de tarefa única. Consequentemente, hook file send sigiotask() permite que os sinais sejam distribuídos para todo o grupo sem verificação. A correção envolve registrar o domínio para cada alvo que não seja um processo único e registrar o grupo de threads do registrador para garantir que a entrega no mesmo processo seja permitida, enquanto membros fora do domínio permaneçam bloqueados.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.