三星 KNOX 漏洞已存在8年，可导致数百万 Galaxy 设备遭内核攻击

代码卫士

2026年6月25日 18:03
北京

在小说阅读器读本章

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

LucidBit Labs公司的研究人员在 KNOX 内核中发现了一个存在八年之久的高危漏洞（CVE-2026-20971，CVSS 7.8分），影响从Galaxy S9到S25的几乎所有三星设备。

该漏洞可通过PROCA与FIVE之间的交互被利用。PROCA进程认证器 (PROCA）是三星设备内核中专有的子系统，旨在阻止未授权进程执行。它通过基于Linux完整性度量模型并由三星进行扩展的内核侧完整性子系统 FIVE 验证进程的真实性。

FIVE追踪每个运行进程的可信度，使用task\_integrity对象记录其安全状态。如果进程发生变化，例如派生子进程，该子进程调用execve()，就会触发新的完整性校验并丢弃旧的完整性校验。这应当是瞬时完成的——但这一切都运行在Android的抢占式内核之中。最终效果是产生一个极小的窗口期，如果能够被触及，就是一个经典的竞争条件释放后使用 (UAF) 目标。

由于抢占式内核的存在，线程在读取指针和使用指针之间可能被挂起。研究人员提到，“目标进程执行execve()，具体为task\_integrity\_put(old\_tint)，释放了原来的struct。proc\_integrity\_value\_read()恢复执行，并带着一个指向已释放内存的指针调用task\_integrity\_user\_read()。”研究人员并未表示利用这个UAF很容易，只是说它有可能被利用。内核内置的控制流完整性 (KCFI) 使其几乎无法实现，但并非完全不可能。它没有消除UAF，但封堵了任意函数调用——这是最危险的利用路径。

然而，研究人员找到了一种利用该UAF的方法，即让进程“加载”一个无法执行的文件，也就是非ELF文件。“这移除了reset\_file refcount > 1这个障碍，”他们解释道。再经过一些额外的技巧，他们就能够“以完全受控的方式重新分配已释放的内存。”最终研究人员发现，该漏洞可由不受信任的应用触发，可能导致内核内存损坏，从而为攻击者提供更深层次控制设备的途径。

影响设备和利用

研究人员将发现报告给了三星，后者在2026年1月的更新中修复了该问题。该漏洞存在于多代三星设备中，包括Galaxy S9至Galaxy S25、A系列设备，以及基于Exynos和高通的型号。三星的安全公告列出的受影响版本为Android 13、14、15和16。三星发布公告称：“在SMR Jan-2026 Release 1之前的SecSettings中存在不恰当的输入验证，允许本地攻击者以系统权限访问文件。触发该漏洞需要用户交互。”

表面上看，该漏洞仅可在本地利用，这似乎意味着它并不那么危险。但那是“用户”交互，不一定是“合法所有者”交互。很少有移动设备用户从未弄丢过自己的设备，然后一两天后又找了回来。通常的假设只是我们忘了放在哪里——但没人确切知道那段时间设备在哪里，或者谁可能接触过它。

在更广泛的网络犯罪生态中，向一台始终在线的设备获取远程访问据点是一种常见做法。攻击者有很多方法绕过本地可利用性的限制。如果该漏洞允许攻击者控制员工的移动设备，攻击者就有可能横向渗透到企业网络。尽管三星已在1月份修复了该漏洞，但用户应确保设备已打补丁。这项研究最大的启示或许是，防御者必须将自身的安全堆栈本身视为一个可能被对手利用的攻击面。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

三星修复已遭活跃利用的 0day 漏洞

谷歌：三星0day漏洞已遭活跃利用

原文链接

https://www.securityweek.com/eight-year-old-samsung-knox-flaw-exposed-millions-of-galaxy-devices-to-kernel-attacks/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。