CVE-2026-43499 (GhostLock)：Linux 内核 rtmutex 子系统的 Stack-UAF 漏洞（存在 15 年）

Ots安全

2026年7月11日 19:33
广东

在小说阅读器读本章

去阅读

威胁简报

恶意软件

漏洞攻击

核心问题：

在 Linux 2.6.39 引入的 rtmutex PI（Priority Inheritance）算法中，remove\_waiter() 函数错误地清空了 current->pi\_blocked\_on 而不是 waiter 任务的 pi\_blocked\_on。

当 rt\_mutex\_start\_proxy\_lock() 返回 -EDEADLK 进行回滚时，current 是 requeuer 而非 waiter，导致 rt\_mutex\_waiter（驻留在 waiter 任务内核栈上）被释放后，pi\_blocked\_on 成为悬垂指针，形成 Stack Use-After-Free。

触发条件：只需 CONFIG\_FUTEX\_PI=y（默认开启），无需特殊权限或 user namespace。利用三个 futex（f\_pi\_chain、f\_pi\_target、f\_wait）和三个线程构造 PI 依赖死锁循环即可触发。

利用过程（简要步骤）：

ASLR Leak：使用 prefetch timing 泄露 kernel image slide 和 physmap base（即使有 KPTI 也可通过 EntryBleed 绕过）。
Stack Reclaim：利用 prctl(PR\_SET\_MM\_MAP) 将用户控制的 auxv 复制到 waiter 栈上，重叠已释放的 rt\_mutex\_waiter 帧，通过 fallocate(PUNCH\_HOLE) 延长 copy\_from\_user 窗口，伪造 rt\_mutex\_waiter 结构（tree、task、lock、wake\_state 等）。
Constrained Pointer Write：构造 fake waiter 触发 rb-tree erase，实现一次受限指针写（可将指针写到目标如 inet6\_protos[IPPROTO\_UDP]）。
Control Flow Hijack：将 inet6\_protos[IPPROTO\_UDP] 覆写指向 CEA（CPU Entry Area）中的 fake inet6\_protocol 结构，通过 loopback IPv6 UDP 包触发 handler 执行 ROP/JOP。
DirtyMode & LPE：短 ROP 链修改 core\_pattern sysctl 权限位，使其 world-writable，崩溃 helper 进程以 root 执行用户代码，实现本地提权（稳定率约 97%）。

该漏洞影响所有未打补丁的 Linux 发行版（直到 Linux 7.1 修复），可用于容器逃逸。NebuSec 在 2026 年 4 月报告，6 月底获得 Google kernelCTF 奖励。

CVE-2026-10702：Firefox JIT（SpiderMonkey / IonMonkey）误编译漏洞

核心问题：

Firefox JavaScript 引擎 JIT 编译器中的指令建模缺陷，导致类型混淆（Type Confusion），允许在浏览器沙箱内实现远程代码执行（RCE）。属于高危漏洞，已在 Firefox 151.0.3 中修复。

利用过程：

NebuSec 提供了原创 SpiderMonkey exploit，集成到 IonStack 项目中。通过精心构造的 JavaScript，在浏览器 JIT 编译阶段诱导误编译，绕过沙箱实现代码执行。然后链式结合 GhostLock 内核漏洞，实现浏览器 → 内核全链路 RCE（Android 17 上首例）。

整体 IonStack 链式利用意义：

从浏览器网页（无需用户交互或仅需访问恶意页面）到 Android 内核 root。
利用 GitHub 仓库（CyberMeowfia/IonStack）中的 PoC，包括 CVE-2026-10702 和 CVE-2026-43499 的 exploit 目录（支持 Pixel 10 系列等）。
体现了浏览器沙箱 + 古老内核 bug 的组合威力，强调了 defense-in-depth 的重要性。

注意：这些是公开的研究 PoC，仅限授权测试环境使用，实际运行可能导致系统不稳定或损坏。请参考 NebuSec 官方博客和 GitHub README 获取最新细节。