公开 PoC 披露 CVE-2026-31694——一个 Linux 内核 FUSE 本地权限提升漏洞

sec随谈
sec随谈

sec随谈

2026年7月13日 08:59
北京

在小说阅读器读本章

去阅读

摘要

研究人员已公开发布了 CVE-2026-31694 的完整细节和可用的利用代码。这个 Linux 内核 FUSE 漏洞允许本地用户溢出页面缓存(page cache)并夺取 root 权限。它可影响使用 4 KiB 内存页(memory pages)的机器上的近期内核版本。

为何重要

本地权限提升漏洞能把一个低权限账户变成完全的 root。这个漏洞在起始阶段无需任何特殊权限，攻击者只需挂载一个 FUSE 文件系统即可。许多桌面系统和容器都通过 fusermount3 或用户命名空间(user namespaces)允许这一操作。因此，该漏洞扩大了本地攻击面。容器和共享服务器面临的暴露风险最大。攻击者尤其青睐此类漏洞，因为它们无需任何网络立足点(foothold)。SUSE 将该问题评为\"重要(important)\"级别。截至目前，尚未确认存在在野攻击。尽管如此，公开的利用代码仍抬高了防御方面临的风险。

攻击原理

FUSE 允许普通用户从用户空间运行文件系统。内核充当客户端，向一个用户程序请求目录数据。当启用缓存时，内核会将这些条目存储在页面缓存中。每个条目都必须放得进一个固定的 4 KiB 页面内。然而，代码在拷贝之前从未校验这条规则。记录大小(record size)直接来自服务端可控的名称长度。内核只是盲目信任这个计算结果，没有做二次检查。于是，一个恶意的 FUSE 服务端可以发送一个 4,095 字节的名称，该条目序列化后会形成一个 4,120 字节的记录。拷贝它时便会使页面溢出 24 个由攻击者控制的字节。这些越界字节会溢出到内存中的下一个内核页面，进而破坏(corrupt)邻近的某个缓存文件。

公开披露与利用现状

Bynar 团队在一篇详细的研究报告中披露了完整的攻击机制，并在 GitHub 上发布了利用代码供任何人研究。其验证程序(validator)通过破坏一个被缓存的特权程序来获取 root shell，这条路径实现了一次干净利落的本地提权至 root。一位独立研究员也发布了另一个独立的本地提权(local-root)利用程序。这两项工作都表明，这个 Linux 内核 FUSE 漏洞是切实可用的，而非仅停留在理论层面。即便如此，CISA 尚未将其列入已知被利用漏洞名单，目前公开的利用评级也仍然较低。

受影响版本

该漏洞位于 fs/fuse/readdir.c 文件中的 readdir 缓存路径内。其存在缺陷的代码可追溯至 2018 年引入的一项缓存功能，但直到 2025 年一次缓冲区(buffer)变更之后才变得可被触发。因此据 Bynar 称，实际风险大约始于 Linux 6.16-rc1。多个独立追踪机构列出的受影响构建版本一直延伸到 7.1 的候选发布版(release candidates)。该测试在一台 Ubuntu 26.04 镜像上成功弹出了 root shell。内存页大于 4 KiB 的机器不受影响。

补丁与缓解措施

维护者已在上游(upstream)通过一处小的边界检查(bounds check)修复了该漏洞。该补丁会拒绝任何无法放入单个页面的条目，目前已合入主线(mainline)及多个稳定(stable)分支。管理员应首先安装发行版的内核更新。鉴于本地攻击面广泛，容器宿主机理应优先处理。在此之前，应在无人需要 FUSE 的地方限制其使用。你可以在不使用 FUSE 的系统上剥离 fusermount3 的 setuid 权限位，同时限制非特权用户命名空间(unprivileged user namespaces)，以缩小攻击面。

参考链接：

https://github.com/BynarIO/pocs/tree/main/linux/cve-2026-31694