OpenBSD曝37年前遗留内核漏洞，攻击者可绕过多项防护获取Root权限

tuto
tuto

杂杂咱谈

2026年10月17日 00:06
福建

去阅读

一、漏洞概述

安全研究团队Calif披露了一项影响OpenBSD内核的安全问题。该漏洞的根源可以追溯到约37年前的早期BSD源代码，涉及System V共享内存机制中的一个计数器设计缺陷。

问题在于，内核使用16位有符号短整型记录共享内存的附加数量。当进程不断创建并继承共享内存附加记录时，计数器可能超过其最大值32,767并发生整数溢出，最终变为负数。

攻击者可以将这一缺陷与竞争条件、释放后使用(UAF)以及内核越界写入问题组合起来，构造完整的本地提权攻击链，最终在OpenBSD系统上获得 Root。

研究人员表示，即使系统启用了KARL、SMAP和SMEP等防护机制，仍然能够实现本地Root权限获取，而且不需要依赖信息泄露漏洞。

相关问题已通过OpenBSD的安全公告errata 026和errata 018分别进行修复。

二、漏洞基本信息

三、漏洞技术原理

3.1 共享内存计数器发生整数溢出

漏洞的历史根源是共享内存附加计数器shm\_nattch的数据类型设计。

该计数器采用16位有符号短整型，能够表示的最大正数为32,767。当计数持续增加并超过上限时，数值会发生回绕，可能由正数变成负数。

这种异常状态会破坏内核对共享内存对象生命周期及引用数量的判断，为后续内存安全问题创造条件。

3.2 竞争条件引发释放后使用

研究人员利用大量进程和共享内存操作，制造特定的内存分配布局，并在多个进程之间争取竞争条件。

攻击者试图让内核在处理共享内存删除操作的同时，重新附加一个大小信息存在混淆的共享内存段，从而使对象生命周期管理出现异常。

这可能导致内核继续访问已经释放、或已被其他对象重新利用的内存区域，形成释放后使用问题。

3.3 结合越界写入实现内核代码执行

在获得可控的内核内存状态后，研究人员进一步利用另一项内核越界写入缺陷，修改IP多播相关结构体中的计数器字段。

随后，通过关闭特定套接字触发链表操作和原子递减，使攻击效果进一步扩展，最终实现对可预测内核指针的覆盖。

整个利用过程可以概括为：

共享内存计数器整数溢出 → 竞争条件 → 释放后使用 → 内核越界写入 → 利用可预测内存布局及关键指针 → 内核代码执行 → Root权限提升。

四、为什么现有防护措施未能阻止攻击？

攻击者并非简单绕过某一个安全机制，而是利用内核内存布局和多项缺陷之间的相互作用。

• KARL: OpenBSD通过重新链接内核二进制文件，随机化函数和数据地址，但研究人员发现，部分内存分配器仍然具有确定性。
• SMAP: 用于限制内核访问用户态内存，降低相关攻击风险。
• SMEP: 用于阻止内核在用户态页面执行代码。
• 确定性的内核内存分配: 在相同硬件环境下，部分早期内存分配位置可能具有可预测性，使攻击者更容易定位包含函数指针的内核结构。

研究人员利用可预测的内核指针位置，并通过特定的页表映射操作，使攻击者控制的内存能够在更高权限下被访问，从而构造内核代码执行原语。

这可以说明，启用ASLR或其他单项内存保护机制，并不意味着系统能够抵御所有组合型内核攻击。 如果内存分配布局、对象生命周期管理和边界检查仍然存在缺陷，攻击者仍可能找到可利用的路径。

五、修复与缓解建议

5.1 优先安装官方安全修复

OpenBSD已通过errata 026和errata 018处理相关问题。

管理员需操作：

1. 查阅OpenBSD官方安全公告，确认漏洞对应的受影响版本及修复内容。
2. 按照官方说明安装适用于当前系统版本的补丁。
3. 在维护窗口内完成更新，并验证修复是否生效。

5.2 改进内核链表安全检查

研究人员建议采用Safe Unlinking机制，在执行双向链表节点移除操作前，验证链表结构的一致性。

一旦发现链表指针关系异常，就应中止相关操作，避免内核继续执行可能造成内存破坏的写入。

5.3 随机化页表映射和内存分配

针对可预测的内核内存地址，可考虑：

• 随机化递归页表映射的分配位置。
• 随机化内核启动阶段的内存分配基址。
• 在运行过程中进一步随机化内存分配顺序。
• 对关键页表映射实施适当的写保护。

这些措施有助于降低攻击者预测关键内存位置、利用固定指针实施攻击的成功率。

5.4 引入编译器级内存安全防护

防御方向：

• 数组边界检测: 检测或消除固定大小数组的越界访问风险。
• Alloc Tokens: 通过区分包含指针与不包含指针的内存分配，降低某些堆内存破坏和释放后使用问题的可利用性。

这些措施并不能替代官方补丁，但有助于从更底层减少整类内存安全漏洞的出现和利用机会。

六、安全影响总结

此次研究展示了一个典型的内核漏洞组合利用案例: 一个可以追溯到早期 OpenBSD源代码的计数器缺陷，与竞争条件、释放后使用和越界写入相结合，最终形成完整的本地提权链。

对系统管理员和安全研究人员而言，主要启示包括：

• 及时修补内核漏洞: 不应因为漏洞源自数十年前的代码，就认为它已经失去现实威胁。
• 关注漏洞组合效应: 单独看似有限的缺陷，组合后可能产生严重的权限提升后果。
• 不要过度依赖单项防护: 地址随机化和处理器内存保护机制不能取代正确的内存管理与边界检查。
• 推动系统级安全加固: 应结合官方补丁、内存分配随机化、链表完整性检查及编译器安全机制，降低类似漏洞的可利用性。

引用来源: Calif安全团队。