ZDI-CAN-33367: reinicia en los kernels de AlmaLinux que cierran la page cache
El 21 de octubre de 2026 se reportó un fallo local de Linux a la lista del kernel bajo ZDI-CAN-33367. AlmaLinux tenía kernels de producción el 28 de octubre. El arreglo es un reinicio, no un ajuste.
La Zero Day Initiative de Trend Micro reportó ZDI-CAN-33367 al equipo de seguridad del kernel y a las listas públicas el 21 de octubre de 2026. La nota de AlmaLinux de esa semana lo llama una elevación local puntuada con 7,8. Un usuario local sin privilegios puede cambiar la copia en memoria de un archivo que puede leer pero no escribir, incluidos archivos de root.
AlmaLinux no publicó un número CVE en ese post. Este artículo no inventa uno. El identificador a seguir hasta que se asigne un CVE es ZDI-CAN-33367.
Qué significa una page cache envenenada
La page cache es la copia que el kernel guarda del contenido de los archivos, compartida por quien lee. Si un usuario local puede alterar esa copia, el siguiente lector — un servicio, un script, un ayudante setuid — puede ver un contenido que el archivo en disco no tiene. AlmaLinux compara la forma con fallos de caché anteriores: el archivo durable puede verse limpio mientras el sistema en marcha vio otra cosa.
El reporte es local. No es un fallo de subida remota. En una máquina donde usuarios no confiables pueden entrar, o donde un contenedor comparte el kernel del anfitrión, local basta.
Qué archivos entran en el alcance
Cualquier cosa que el atacante pueda leer. Configuración legible por todos, binarios ejecutables por todos y claves guardadas con permisos flojos están en la caché cuando algo las abre. Una escritura en la caché no es una escritura en el inodo, así que una suma del archivo en disco puede seguir pasando después de que la vista en ejecución estuviera mal.
Los hosts de compilación compartidos y las máquinas de salto son los sitios aburridos donde esto cae. Un portátil de un solo usuario con disco cifrado es una audiencia menor que un servidor de shell de campus.
Los kernels de AlmaLinux que incluyen la corrección
AlmaLinux publicó kernels de prueba el 23 de octubre de 2026 y, el 28 de octubre, dijo que la corrección estaba en los repositorios de producción. Los builds que nombra ese post son kernel-4.18.0-553.178.1.el8_10 en AlmaLinux 8, kernel-5.14.0-687.60.1.el9_8 en AlmaLinux 9 y kernel-6.12.0-211.69.1.el10_2 en AlmaLinux 10.
Otras reconstrucciones empresariales y las ramas estables de upstream publicaron sus propios builds. Si no estás en AlmaLinux, busca ZDI-CAN-33367 en la errata de tu proveedor en vez de instalar un RPM de AlmaLinux en otra distribución.
Actualiza y reinicia
En AlmaLinux la instrucción del propio proyecto es refrescar metadatos, actualizar y reiniciar. Después del reinicio, confirma que el kernel en marcha es al menos el build de arriba para tu versión mayor. Un equipo que instaló el paquete y siguió encendido sigue en el código viejo de la caché.
Hasta ese reinicio, no trates como privados los secretos legibles por todos en un host compartido. Muévelos a un almacén que no sea un archivo de modo 644, y mantén fuera a los usuarios no confiables. Esta nota no describe cómo se altera la caché.
La nota de AlmaLinux del 23 de octubre de 2026, actualizada el 28 de octubre, sobre ZDI-CAN-33367.
https://almalinux.org/blog/2026-10-23-zdi-can-33367/
Preguntas frecuentes
¿Cuál es el CVE de ZDI-CAN-33367?
La nota pública de AlmaLinux del 23 de octubre de 2026 no da un número CVE. Sigue ZDI-CAN-33367 hasta que el aviso de tu proveedor imprima uno. No adivines un identificador.
¿Es remoto?
No. Es un usuario local que cambia la vista en caché de un archivo que puede leer. La prioridad del parche sigue a quién puede conseguir un shell local, incluido a través de un contenedor sobre ese kernel.
¿Qué paquete de AlmaLinux es la corrección?
AlmaLinux 8: kernel-4.18.0-553.178.1.el8_10 o posterior. AlmaLinux 9: kernel-5.14.0-687.60.1.el9_8 o posterior. AlmaLinux 10: kernel-6.12.0-211.69.1.el10_2 o posterior. Reinicia.