[CVE-2025-39964] 我是如何抢在 Copy Fail 之前发现价值 113,337 美元的 AF_ALG Linux 本地提权漏洞的

作者复盘 CVE-2025-39964 的发现与利用过程：AF_ALG 子系统的竞态条件使两个并发 sendmsg() 写入可将 ctx->merge 置真且 scatterlist 的 cur 为零，触发 sg[-1] 越界访问，进而构造 usercopy 预言机与任意内核写，最终覆写 core_pattern 实现 root 提权与 Docker 容器逃逸。该漏洞自 2011 年前后即存在，早于 Copy Fail 受到关注，经 Google kernelCTF 提交获 113,337 美元赏金。

作者借助 AI 在 Linux net/sched 子系统发现一个 UAF 漏洞并编写 LPE 利用，针对 TyphoonPwn 2026 的 CentOS 9 目标完成优化。AI 加速了漏洞发现与利用迭代，但深入的子系统知识依然关键。

CVE-2023-36802 是微软流媒体服务代理驱动 mskssrv.sys 中的类型混淆漏洞，公开分析已有不少，但多写于新缓解措施封死惯用路径之前。本文的约束很直接：不依赖 NtQuery* API 泄露内核地址，也不用 PreviousMode 实现任意读写，在现有缓解措施下按今天的方式从头构建利用。

Ubuntu Server 默认安装会将首个用户静默加入 lxd 组，而 lxd 组成员身份在设计上等同于 root。24.04 起虽不再预装 LXD，但预置的 lxd-installer socket（属主 root:lxd、权限 0660）允许任何 lxd 组用户免密安装 LXD，启动挂载宿主文件系统的特权容器，直接登上宿主机 root。每个环节都是文档化的预期行为，弱点在于不安全的默认组合。我们在 20.04、22.04、24.04 和 26.04 上完整验证了到 euid=0 的整条链，厂商审阅后选择不修复（有意的商业决策），并同意发表本研究。

2026 年 1 月 Chrome 发布公告修复多个组件漏洞，其中 V8 的越界内存访问漏洞 CVE-2026-0899（由 @p1nky4745 发现）引起我们注意。在漏洞仍处受限、无公开 PoC 的情况下，我们逆向补丁定位根因，并构造出触发 PoC。

在内核移除 dummy 文件触发路径后，Frontier Squad 提出 modprobe_path 提权技术的新变体：利用 AF_ALG socket 与无文件链接触达 call_modprobe。