三星 KNOX 内核释放后重用漏洞，数百万 Galaxy 系列手机面临风险

鹏鹏同学
鹏鹏同学

黑猫安全

2026年6月24日 08:50
湖北

在小说阅读器读本章

去阅读

研究人员在三星 KNOX 安全组件栈中发现一处高危内核漏洞，棘手之处在于漏洞藏身的位置：这套软件本是用来抬高攻击者入侵门槛的防护模块。漏洞编号 CVE-2026-20971 属于释放后重用（UAF）漏洞，出现在 PROCA 与 FIVE 这两个内核子系统交互逻辑中，二者负责三星设备的进程完整性校验工作。

该漏洞根源为竞态条件缺陷。FIVE 通过task_integrity对象追踪进程；当进程状态发生变更（例如创建子进程 fork、调用 execve 执行新程序）时，旧的完整性对象会被释放，同时生成新对象接替工作。这套内存交接逻辑本应完整无缺，但安卓抢占式内核给攻击者留出了可利用的时间间隙：一个线程读取内存指针后被系统挂起，恢复运行时继续操作已被释放的内存，漏洞就此触发。

LucidBit 实验室对核心问题描述如下：目标进程执行 execve 系统调用，调用task_integrity_put(old_tint)释放原始结构体。后续流程风险同样严重：proc_integrity_value_read()恢复执行，并携带指向已释放内存的指针调用task_integrity_user_read()。

实验室发布的报告中写道：“漏洞利用逻辑本身不算复杂，但竞态窗口极窄。执行proc_integrity_value_read()的进程必须精准卡在几条指令的时间区间内被调度切出，且切出时长足够让攻击者篡改这块内存。”

一旦满足上述时序条件，漏洞不再只是理论风险，而是可稳定触发、存在完整内存破坏链路的可用释放后重用漏洞。

三星内核控制流完整性保护（KCFI）虽能缓解威胁，但无法彻底根除漏洞。该机制通过拦截任意函数调用缩小攻击面，具备防护作用，却不足以封堵漏洞。研究人员另辟蹊径：让进程加载不可执行的非 ELF 格式文件，绕过reset_file引用计数拦截逻辑，随后以完全可控的方式重新占用已释放内存。这类漏洞利用思路，足以让内核开发工程师倍感头疼。

该漏洞并非纯学术演示。LucidBit 实验室表示，任意不受信任的普通应用程序均可触发此漏洞，引发内核内存损坏 —— 这正是攻击者最青睐的入侵突破口。

报告补充：“任意不可信应用均可利用该漏洞，攻击者能够获取多种内存破坏原语，存在完全控制整台设备的风险。”

三星已于 2026 年 1 月安全更新中修复此漏洞，受影响机型覆盖范围极广：从 Galaxy S9 至 Galaxy S25 全系列，A 系列机型；同时包含搭载猎户座、高通芯片的设备，系统版本覆盖安卓 13、14、15、16。

三星官方安全公告将该漏洞描述为 2026 年 1 月第一版维护发布（SMR）之前，SecSettings 组件存在不当输入校验，并注明漏洞需要本地访问 + 用户交互才能触发。这段描述看似风险有限，但要知道移动端 “本地访问” 往往只需用户一次误触即可实现：手机丢失、外借、无人看管、出售前未彻底恢复出厂，都会快速扩大攻击面。

本次事件带来更具普适性的安全启示：防护类安全组件不能因其 “防御属性” 就默认无懈可击。只要模块运行在内核层、负责进程状态检测、处理信任判定逻辑，自身就会成为攻击面的一部分。防护屏障未必不能被攻击者当作攀爬跳板，抱有这种侥幸心理将付出巨大安全代价。

该漏洞也印证了企业安全运维人员熟知的风险规律：移动端内核漏洞同样会对企业业务构成威胁。一旦员工手机遭到入侵，攻击者可将其作为跳板渗透企业内网。移动终端常年在线、普遍被内网信任，监控力度却远低于电脑终端，多重因素叠加形成极高风险组合。核心警示十分直白：尽快安装安全补丁，切勿仅凭 “安全工具” 的名号就默认其自身绝对安全。

报告总结：“经过定制修改的代码，尤其是复杂机制相关模块，向来是漏洞挖掘的重点目标。FIVE 属于三星 KNOX 安全套件组件，本次研究证实防护机制本身反而可能扩大攻击面。本次研究也展现出利用内核竞态漏洞的通用难点：极短的竞态窗口，且需要在不同缓存中重新分配已释放内存；同时验证了内核 CFI 是高效缓解手段，基本阻断了任意函数调用原语，但即便如此，攻击者仍可使用其他威力强劲的内存操作原语完成入侵。”