Contexto técnico: CVE-2022-0492 es una vulnerabilidad de autenticación impropia (CWE-287) y control de acceso incorrecto (CWE-862) presente en el subsistema cgroups v1 del kernel de Linux. El fallo reside en la función release_agent de cgroups v1, que permite definir un binario o script que se ejecuta automáticamente cuando el último proceso de un cgroup termina. La vulnerabilidad fue introducida porque el kernel no realizaba correctamente la comprobación de capacidades del namespace de usuario (user namespace capabilities) al permitir la escritura en el fichero release_agent.
Mecánica del exploit: Un atacante local sin privilegios puede crear un nuevo namespace de usuario y de cgroup dentro de él. Dentro de este namespace, el proceso malicioso aparenta tener capacidades elevadas (CAP_SYS_ADMIN dentro del namespace), lo que le permite escribir en /sys/fs/cgroup/.../release_agent. Al configurar un binario arbitrario como release_agent y provocar la liberación del cgroup, el kernel ejecuta dicho binario con privilegios del proceso init del host (contexto root del sistema anfitrión), logrando así la escalada de privilegios completa. En entornos de contenedores (Docker, Kubernetes, LXC) que no deshabiliten cgroups v1 ni user namespaces, este vector permite además el escape de contenedor, comprometiendo el nodo anfitrión.
Impacto potencial: Escalada de privilegios local (LPE) hasta root en el sistema anfitrión. En infraestructuras de contenedores sin mitigaciones aplicadas, el impacto asciende a compromiso total del nodo host. La explotación no requiere interacción del usuario y puede ser realizada por cualquier proceso con acceso a user namespaces. Afecta a distribuciones Linux con kernel anteriores al commit de corrección aplicado en febrero de 2022, incluyendo versiones ampliamente desplegadas de Ubuntu, Debian, RHEL/CentOS, SUSE y otras.