Linux内核POSIX CPU计时器UAF漏洞PoC公开与利用分析

漏洞概况

安全研究人员近期公开了针对CVE-2025-38352的概念验证（PoC）利用代码。该漏洞源于Linux内核在实现POSIX CPU计时器时存在的一个竞态条件问题。攻击者通过此漏洞可触发内核内存中的释放后使用（use-after-free）场景，最终可能导致权限提升与系统完全沦陷。

漏洞核心位于内核的 handle_posix_cpu_timers() 函数中，该函数负责在CPU调度器的时钟周期内处理计时器信号。攻击者通过精准控制内核收集触发计时器与开始处理计时器之间的微小时间窗口，能够在内核仍在访问某个计时器数据结构时，成功将其释放。

技术细节

该漏洞主要影响那些禁用了 CONFIG_POSIX_CPU_TIMERS_TASK_WORK 内核编译选项的系统，这使得众多32位Android设备成为主要受影响目标。成功触发漏洞需要满足较为苛刻的条件：相关进程必须首先进入僵尸状态，并且攻击者需要极其精确地协调时间以命中竞态条件窗口。

研究人员Faraz Sth在GitHub上发布的PoC代码清晰地展示了完整的攻击链条：

1. 创建一个会在特定CPU时间间隔后触发的POSIX CPU计时器。
2. 在内核执行关键操作期间，强制相关线程进入僵尸状态。
3. 在计时器处理流程中，对僵尸任务进行回收。
4. 通过 timer_delete() 系统调用删除计时器，导致其占用的内核内存被过早释放。
5. 当内核继续尝试访问这个已被释放的计时器结构时，便会触发释放后使用错误。

这个过程深刻反映了Linux内核中并发与内存管理的复杂性，一个微小的时序错误便可能引发严重的安全后果。

影响与缓解

成功利用该漏洞后，系统会产生内核地址消毒器（KASAN）警告，明确指示在 posix_timer_queue_signal() 函数中发生了UAF写操作。在未启用KASAN的系统上，内核警告则会出现在 send_sigqueue() 函数中。

根据相关安全公告，该漏洞已在有限的针对性攻击中被积极利用。尽管漏洞利用需要攻击者具备本地系统访问权限，并对时序有精确控制，但一旦成功，攻击者便能获得提升的内核级权限，完全控制受影响的Linux系统。

目前，Linux内核的稳定分支已发布了相应补丁。该补丁通过阻止僵尸进程执行计时器处理代码，从根本上消除了产生竞态条件的时间窗口。系统管理员，特别是负责Android设备或使用受影响内核版本的嵌入式Linux系统的管理员，应优先安排内核更新。随着PoC代码的公开，针对未打补丁系统的攻击尝试预计会迅速增加，修复的紧迫性正在急剧上升。对于安全从业者而言，理解此类底层漏洞的成因与利用方式，是构建有效安全防护体系的重要一环。

参考来源：

PoC Exploit Released for Use-After-Free Vulnerability in Linux Kernel’s POSIX CPU Timers Implementation

https://cybersecuritynews.com/use-after-free-vulnerability-linux-kernel/