CVE-2026-43321 Linux内核BPF权限提升漏洞

漏洞信息

漏洞编号

CVE-2026-43321

漏洞类型

权限提升

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Linux Kernel

漏洞概述

Linux内核BPF验证器中存在安全漏洞。在处理`gotox rX`间接跳转指令时，compute_insn_live_regs()函数未能正确标记rX寄存器为已使用。这导致寄存器活性分析逻辑出现错误，攻击者可利用此缺陷绕过验证器的严格检查，构造恶意的eBPF程序在内核空间执行任意读写操作，从而导致本地权限提升。

技术细节

该漏洞位于Linux内核eBPF验证器的寄存器活性分析逻辑中。验证器是eBPF系统的核心安全组件，负责确保eBPF程序在内核中的执行不会破坏系统稳定性或安全性。其中一项关键任务是通过compute_insn_live_regs()函数跟踪寄存器的存活状态，以辅助死存储消除（DSE）等优化。然而，在处理间接跳转指令`gotox rX`时，该函数存在逻辑缺陷，未将目标寄存器rX标记为已使用。这一遗漏会导致验证器对寄存器状态的判断错误，可能允许程序在后续执行中使用未初始化的寄存器值，或者错误地优化掉必要的边界检查。攻击者可利用此漏洞构造特制的eBPF代码，在验证器误判的情况下将其加载到内核运行，进而实现任意内存读写，修改进程凭据，最终从低权限用户提升至Root权限。

攻击链分析

STEP 1

步骤1

攻击者准备包含特制eBPF字节码的程序，其中利用`gotox`指令触发寄存器活性标记错误。

STEP 2

步骤2

攻击者利用低权限账户，通过`bpf()`系统调用尝试将该恶意程序加载到内核中。

STEP 3

步骤3

由于验证器（compute_insn_live_regs）存在漏洞，错误地认为程序符合安全规范，从而通过验证。

STEP 4

步骤4

恶意eBPF程序被挂载到内核钩子（如Socket或Tracepoint），并在特定事件触发时执行。

STEP 5

步骤5

程序利用验证逻辑漏洞在内核空间执行任意读写，修改当前进程的cred结构体，获得Root权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

/**
 * Conceptual PoC for CVE-2026-43321
 * This snippet demonstrates the usage of indirect jump `gotox`.
 * Exploitation requires crafting a specific eBPF bytecode sequence
 * that tricks the verifier's liveness analysis.
 */
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("socket")
int prog(struct __sk_buff *skb)
{
    __u64 r1 = 0;
    
    // Simulate a condition or register state
    if (skb->len > 0) {
        r1 = 1;
    }

    // Use indirect jump. The bug causes the verifier to not mark
    // the register used here as 'live' properly in compute_insn_live_regs().
    // This can lead to incorrect verification of subsequent instructions.
    asm volatile("gotox %0" : : "r"(r1));

    // If exploitation succeeds, we might execute code here that
    // should have been pruned or marked invalid.
    return 0;
}

char _license[] SEC("license") = "GPL";

影响范围

Linux Kernel < commit 7beae54111c34ca63357ef120e115889b915beb5

Linux Kernel < commit d1aab1ca576c90192ba961094d51b0be6355a4d6

防御指南

临时缓解措施

如果无法立即升级内核，建议通过sysctl将kernel.unprivileged_bpf_disabled设置为1，以禁止非特权用户加载eBPF程序，从而阻断本地攻击者的利用路径。