【高危漏洞预警】CVE-2026-98260 Linux内核POSIX CPU Timer释放后重用（Use-After-Free）

飓风网络安全

2026年10月27日 23:39
广东

去阅读

一、漏洞原理

漏洞根源发生在execve()系统调用流程中非主线程（non-leader thread）执行exec的竞争逻辑：

1. 线程绑定CLOCK\_THREAD\_CPUTIME\_ID类型的线程级CPU定时器，定时器节点挂载在线程的posix\_cputimers红黑树队列，定时器持有目标线程PID引用；

2. 当非主线程调用exec()，内核de\_thread()执行线程PID置换，PID查找返回NULL；内核错误判定定时器节点已经出队，跳过清理；

3. exec流程设置bprm->point\_of\_no\_return之后，如果中间环节（unshare\_files/exec\_mmap/exec\_task\_namespaces）执行失败，任务提前退出；

4. exit\_itimers()释放k\_itimer定时器对象，但定时器节点仍然挂在内核红黑树链表上；后续内核任务回收逻辑访问已经释放的内存，形成经典Use-After-Free。

正常成功的exec流程中posix\_cpu\_timers\_exit会清理节点，漏洞仅在exec中途失败的特殊时序下触发，属于条件竞争类内核漏洞

二、影响范围

受影响Linux内核版本：

• 主线内核：≤7.3-rc3

• 稳定分支：6.6.157、6.12.111、6.18.53、7.2.7及更早版本

受影响发行版：

• RHEL 9 内核RT包、Amazon Linux 2 / Amazon Linux 2023、Debian、Ubuntu、OpenEuler等主流发行版

• Android系统（手机、平板、车载安卓），安全研究者已在Samsung Galaxy S26 Ultra沙箱内验证本地提权能力

不受影响：编译内核时关闭CONFIG\_POSIX\_TIMERS的定制内核；部分老旧5.4分支默认路径不存在该问题

补丁Commit：6f1977cea3e85cd8ab55fb337d3e1725fe61d1ce，修复逻辑：在de\_thread()完成后立刻清理POSIX定时器，消除悬空链表节点

三、攻击面与利用条件

1. 攻击向量：本地（Local Only），无法远程直接利用；攻击者需要具备服务器/容器内普通用户shell、App沙箱执行权限

2. 前置条件：

内核开启CONFIG\_POSIX\_TIMERS

攻击者可执行代码，能够创建CLOCK\_THREAD\_CPUTIME\_ID定时器、多线程、调用execve并制造exec失败场景

3. 利用效果：

✅ 本地权限提升，普通用户→root

✅ 容器环境下容器逃逸，突破namespace隔离

✅ 内核内存损坏，触发Oops、系统宕机（DoS）

当前状态：服务器端POC代码已经流出；Android端完整EXP暂未公开，仅研究团队内部验证；EPSS较低，野外大规模利用暂未观测到，但提权价值极高，红队、恶意样本会快速跟进集成该漏洞

四、检测排查方案

1. 内核版本快速核查

uname -r

对比上面受影响版本清单，低于修复版本即为风险主机

查看内核编译选项是否开启POSIX\_TIMERS

zcat /proc/config.gz | grep CONFIG\_POSIX\_TIMERS

2. 日志特征监测

审计系统dmesg日志，监控关键字：

use after free、k\_itimer、posix\_cputimers、rb\_tree corrupted、slab corruption

dmesg | grep -E \"use-after-free|k\_itimer|posix\_cpu\_timer\"

3. 容器环境专项检查

容器内默认具备创建线程、定时器、execve能力，默认不隔离该内核接口，K8s、Docker业务容器全部在风险面内；

提示：seccomp简单规则无法直接阻断该漏洞利用，攻击链路不依赖高危syscall，是exec+timer组合时序竞争

五、缓解与修复方案（优先级排序）

✅ 方案1（首选）：升级内核至包含官方补丁版本

同步发行版安全源，安装对应内核更新包（RHEL RHSA-2026:83797、Amazon ALAS2023-2026-3192），重启主机生效。

✅ 方案2 临时缓解（无法立刻升级内核时）

1. 应用层管控：限制不可信业务代码创建CLOCK\_THREAD\_CPUTIME\_ID线程CPU定时器；业务代码在exec之前主动销毁、解除武装POSIX timer；

2. 内核编译级：重新编译内核，关闭CONFIG\_POSIX\_TIMERS（业务兼容性影响很大，谨慎使用）；

3. 容器加固：增强seccomp+AppArmor/SELinux策略，限制非可信容器调用timer\_create等定时器系列系统调用；

4. 监控告警：对内核slab损坏、Oops崩溃事件配置告警，及时发现尝试利用行为。

❌ 无效缓解：单纯修改ulimit、限制普通用户CPU资源，无法阻止该竞争条件触发。

六、企业侧安全建议

1. 资产梳理：优先梳理云主机、K8s节点、边缘Linux设备、安卓智能终端资产内核版本；AI算力集群、多租户容器平台是高价值目标，优先修复；

2. 开发侧：自研容器/沙箱、智能体运行沙箱（和你当前AI智能体业务强相关），增加syscall过滤，禁止不受控的线程POSIX CPU定时器；

3. 红队/渗透：该漏洞可作为容器逃逸、本地提权的备选载荷，在内部攻防演练重点覆盖；

4. 风险边界：该漏洞不能远程打，不要和远程RCE漏洞混为一谈；但一旦攻击者拿到容器/服务器低权限入口，该漏洞是横向、提权逃逸的高危突破口。