2026-10-24 10:49:25 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【漏洞预警】linux内核漏洞(POC已公开)已有 Android/ARM64 的利用实现CVE-2026-98260

YGnight
YGnight

night安全

2026年10月20日 10:41
四川

去阅读

一、漏洞描述


CVE 编号	CVE-2026-98260
漏洞类型	POSIX CPU 定时器节点释放后重用，第三方漏洞库按 CWE-416 归类
受影响组件	fs/exec.c 的 begin\_new\_exec 与 kernel/time/posix-cpu-timers.c 的定时器清理逻辑，需开启 CONFIG\_POSIX\_TIMERS
引入提交	55e8c8eb2c7b，5.6-rc2 进入主线
修复提交	acb03d388181，7.3-rc3 之后进入主线
修复版本	主线 7.3 / 6.6.158 / 6.12.112 / 6.18.54 / 7.2.8
触发前提	多线程进程，非主线程持有已启动的 CLOCK\_THREAD\_CPUTIME\_ID 定时器，execve 在 de\_thread 之后的某一步失败
利用条件	本地执行权限，无需网络，无需用户交互，依赖信号打断可中断的锁，并推迟线程回收
危害面	回收时删除已释放节点造成内存破坏，公开实现把它做成写原语并改写 task 的 cred
CVSS	7.8，CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H，kernel.org CNA 口径；第三方另给 CVSS 4.0 的 6.8 分，只计可用性
EPSS	0.134%，分位 2.597%，FIRST 于 2026-10-19 更新
公开代码	已有 Android/ARM64 的利用实现，含竞态触发、堆布局、地址泄露与提权，偏移需从目标内核的 BTF 或符号表取得

二、漏洞原理

timer\_create 用 CLOCK\_THREAD\_CPUTIME\_ID 建出来的定时器，认的是线程自己的 pid。

启动之后，对象本身挂在进程 signal 的定时器链表里，里面那个节点排进对应线程的定时器队列。

队列归线程所有，对象有自己的引用计数，两头的寿命本来就不绑在一起。

公开的部分利用实现代码。

// timer\_lpe.c 触发线程一节的骨架
timer\_create(CLOCK\_THREAD\_CPUTIME\_ID, &ev, &timerid); // 只盯当前这个线程
timer\_settime(timerid, 0, &one\_hour, NULL); // 已启动，节点进了 B 的队列

execve(\"/proc/self/exe\", argv, envp); // B 不是线程组 leader

非主线程调 execve，内核第一步要把这个进程变成单线程。

de\_thread 清掉其他线程，接着用 exchange\_tids 把 leader 与当前线程的 pid 对调，最后把 leader 回收掉。

定时器手里的 pid 已经查不到任何活着的 task，节点却还留在 B 的队列上。

正常路径上，begin\_new\_exec 靠后本来安排了一段专门的清理，摘的就是这种残留节点。

麻烦出在它的位置。

point\_of\_no\_return 在 de\_thread 之前就置上了。

unshare\_files、set\_mm\_exe\_file、exec\_mmap、exec\_task\_namespaces 这几步里任何一个失败，任务直接转向 do\_exit，够不到后面那段清理。

// fs/exec.c v7.3-rc2 修复前
bprm->point\_of\_no\_return = true; // 1149 之后出错一律致命
retval = de\_thread(me); // 1152 换 TID、回收 leader
if (retval)
goto out;

retval = exec\_task\_namespaces(); // 1191 这里的失败会跳到 out\_unlock
if (retval)
goto out\_unlock;

spin\_lock\_irq(&me->sighand->siglock);
posix\_cpu\_timers\_exit(me); // 1197 节点本来在这里摘
spin\_unlock\_irq(&me->sighand->siglock);
exit\_itimers(me);
flush\_itimer\_signals();

这时候 B 成了最后活着的线程，do\_exit 走到 exit\_itimers，逐个删定时器。

删除前要先拿 pid 换出那个 task。换不出来的时候，内核的处理是打一条警告、认定节点已经不在队列里，摘节点的动作整段跳过。

调用方看到的返回值仍然是成功，于是顺着往下把对象释放了。

// kernel/time/posix-cpu-timers.c v7.3-rc2 修复前
// timer\_lock\_sighand 查不到 task 时
t = pid\_task(timer->it.cpu.pid, type);
if (!t)
break; // 直接走人
smp\_rmb();
WARN\_ON\_ONCE(ctmr->head || timerqueue\_node\_queued(&ctmr->node));
return NULL;

// posix\_cpu\_timer\_del
p = timer\_lock\_sighand(timer, &flags);
if (likely(p)) {
disarm\_timer(timer, p); // 只有查到 task 才摘节点
unlock\_task\_sighand(p, &flags);
}
if (!ret) {
put\_pid(timer->it.cpu.pid);
timer->it\_status = POSIX\_TIMER\_DISARMED; // 对外仍是删除成功
}

// cleanup\_timerqueue 回收时每一趟都要跑
while ((node = timerqueue\_getnext(head))) {
timerqueue\_del(head, node); // node 落在已释放的对象里
ctmr = container\_of(node, struct cpu\_timer, node);
ctmr->head = NULL;
}

B 的 task\_struct 还没回收，队列的根还在，节点也没走，三个条件同时成立。

父进程一回收，内核顺着这条队列删除最靠前的节点，删的同时会读写它两侧的红黑树字段。这格子要是已经分给了别的对象，这些读写就砸在别人身上。

公开实现的做法是把这处悬空引用加工成一次写入。

先用 io\_setup 建大量 AIO 环形缓冲区占住内核页面，再用 mremap 把页面搬到确定位置。

被释放的那个槽位所在的物理页因此也对上了用户态，伪造的 cred、定时器与命名空间摆在用户页里，等内核的下一次写入落到 task 的 cred 上面。

整套流程的成功率取决于堆布局和那台机器的加固情况，偏移也必须逐个内核去填，公开实现本身没有给出适用机型清单。