CVE-2026-23412 — Linux 内核 Netfilter BPF 钩子释放后使用本地权限提升

本文回顾 CVE-2025-39964：Linux 内核 AF_ALG 加密套接字中的竞态条件导致 scatterlist 越界访问，结合 usercopy 预言机制，普通用户可实现本地提权至 root，并能逃逸 Docker 容器控制宿主机。该漏洞自 2011 年左右即存在，经负责任披露并作为 Google kernelCTF 提交获得 113,337 美元奖励，发现时间早于同样基于 AF_ALG 的 Copy Fail。

作者借助 AI 在 Linux net/sched 子系统发现一个 UAF 漏洞并编写 LPE 利用，针对 TyphoonPwn 2026 的 CentOS 9 目标完成优化。AI 加速了漏洞发现与利用迭代，但深入的子系统知识依然关键。

针对 CVE-2022-32250（Linux Netfilter nftables 释放后使用写漏洞）的完整利用：借助 mqueue 泄露堆与 KASLR，覆写 modprobe_path 在 Ubuntu 22.04 上取得 root。

Quarkslab 披露 NVIDIA Linux 开源 GPU 内核模块的两个漏洞：nvidia-uvm 空指针解引用（CVE-2025-23300）与 nvidia 模块内核栈释放后使用（CVE-2025-23280），本地普通进程可触发，PoC 实现内核读写。

Ubuntu Server 默认安装会将首个用户静默加入 lxd 组，而 lxd 组成员身份在设计上等同于 root。24.04 起虽不再预装 LXD，但预置的 lxd-installer socket（属主 root:lxd、权限 0660）允许任何 lxd 组用户免密安装 LXD，启动挂载宿主文件系统的特权容器，直接登上宿主机 root。每个环节都是文档化的预期行为，弱点在于不安全的默认组合。我们在 20.04、22.04、24.04 和 26.04 上完整验证了到 euid=0 的整条链，厂商审阅后选择不修复（有意的商业决策），并同意发表本研究。

深入分析 CVE-2024-27394——Linux 内核 TCP-AO 中因 RCU API 使用不当导致的释放后使用漏洞：涵盖 RCU 内部机制、补丁与可靠触发技术 ExpRace。