文章总结： Linux内核epoll子系统存在释放后使用漏洞CVE-2026-46242，允许非特权用户在Linux和Android设备上获取root权限。该漏洞源于2023年引入的竞争条件，利用技术成功率约99%，影响内核6.4及以上版本。官方补丁于2026年4月发布，无其他缓解措施。Android设备需关注厂商更新。 综合评分： 83 文章分类： 漏洞分析,二进制安全,渗透测试

Linux 内核 UAF 漏洞导致 Epoll 漏洞使非特权攻击者能够获取 Linux 和 Android 系统的 root 权限

ZM ZM

暗镜

2026年7月13日 07:00 北京

在小说阅读器读本章

去阅读

一个新披露的 Linux 内核漏洞，编号为 CVE-2026-46242，被称为“Bad Epoll”，暴露了 epoll 子系统中一个严重的竞争条件释放后使用 (UAF) 缺陷，该缺陷允许非特权用户在 Linux 系统甚至 Android 设备上将权限提升至 root。

该漏洞由安全研究员 Jaeyoung Chung在 Google 的 kernelCTF 项目中发现并利用，凸显了核心内核组件中细微并发漏洞在现实世界中的可利用性和重大影响。

与许多先前的权限提升漏洞不同，Bad Epoll 漏洞尤其严重，因为它影响了系统服务、网络堆栈和现代浏览器广泛使用的基本内核机制，除了打补丁之外，没有其他直接的缓解措施。

该漏洞源于 2023 年 4 月（提交 58c9b016e128）在 epoll 事件通知子系统中引入的竞争条件。

当两个 epoll 实例并发关闭时，就会出现问题，导致竞争条件：一个线程释放了一个结构体，而另一个线程同时仍在操作该结构体，从而造成释放后使用的情况。

尽管竞争窗口非常窄，估计只有几条 CPU 指令，但研究人员展示了一种高度可靠的利用技术，该技术可以扩大竞争条件窗口并反复触发它，而不会导致内核崩溃。

这种方法在受控环境中可达到约 99% 的成功率，使得该缺陷比典型的竞态条件漏洞更具实用性。

从技术上讲，该漏洞利用了多个以成对配置排列的 epoll 对象来触发和控制竞争条件。在成功实现受控的 UAF 写入后，攻击者会将该攻击原语升级为更强大的跨缓存攻击，目标是内核文件对象。

这使得可以通过 /proc/self/fdinfo 等接口进行任意内核内存读取，最终允许通过面向返回的编程 (ROP) 链进行控制流劫持。

其结果是，攻击者可以在非特权环境下执行完整的内核代码并获得 root shell。值得注意的是，研究人员证实，即使在 Chrome 渲染器沙箱等受限环境中，该漏洞也能被触发，使其成为攻击链中极具价值的候选漏洞。

Bad Epoll 最令人担忧的方面之一是它与 Android 的关联性。历史上，由于平台特定的限制，只有一小部分 Linux 内核漏洞可用于获取 Android 设备的 root 权限。

然而，Bad Epoll 属于少数能够绕过这些限制的漏洞之一。早期测试表明，运行内核版本 6.6 或更高版本的设备（例如较新的 Pixel 机型）可能存在此漏洞，据报道，完整的Android 漏洞利用程序正在开发中。基于内核版本 6.1 的旧设备不受影响，因为存在漏洞的代码是在更高版本中引入的。

该漏洞与Anthropic公司的AI系统Mythos先前发现的另一个与epoll相关的竞态条件漏洞（CVE-2026-43074）同时存在。虽然Mythos成功识别了同一代码路径中的一个漏洞，但它未能检测到Bad Epoll，这凸显了在运行时指标极少的情况下识别竞态条件的难度。

缺乏一致的检测信号（例如 KASAN 警报），加上极其狭窄的竞争窗口，很可能是造成疏忽的原因。即使是内核维护者最初也难以实现完整的修复，最终补丁直到 2026 年 4 月 24 日才发布（提交 a6dc643c6931），距离最初披露已过去了两个月。

鉴于 epoll 是内核核心功能且没有禁用选项，除了应用官方补丁或厂商提供的向后移植版本之外，没有其他可行的解决方法或缓解措施。运行 Linux 内核 6.4 及更高版本的系统如果未打补丁，则可能会受到影响。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 ZM ZM《Linux 内核 UAF 漏洞导致 Epoll 漏洞使非特权攻击者能够获取 Linux 和 Android 系统的 root 权限》