CVE | CVE-2026-98260漏洞复现

原创

LapR1skT
LapR1skT

凌日网络与信息安全团队LapR1skT

2026年11月11日 08:00
重庆

去阅读

漏洞信息

CVE 编号：CVE-2026-98260
漏洞类型：释放后使用 (Use-After-Free, CWE-416) / 本地提权 (LPE)
CVSS 评分：7.8 (高危)
影响组件：Linux Kernel (fs/exec.c 与 kernel/time/posix-cpu-timers.c)
影响版本：Linux 7.2.8 之前版本（或针对 Ubuntu 的特定受影响版本）
漏洞原理简述：
该漏洞源于 POSIX CPU 定时器在 exec() 系统调用失败退出时的清理顺序错位。exec() 改变了线程 ID 后，清理函数按旧 ID 找不到线程，导致定时器节点未被摘除，但其内存却被提前释放（kfree\_rcu）。随后僵尸进程回收时再次访问该节点，形成 UAF。攻击者可利用此漏洞进行堆喷占位，进而篡改内核 cred 结构体，实现普通用户到 root 的权限提升

复现环境

宿主机：Windows
虚拟化软件：VMware Workstation 17.5.x
目标系统：Ubuntu 26.04 LTS Desktop
内核版本：7.0.0-30-generic（注：必须与 PoC 严格匹配，系统默认内核为 7.0.0-42，需手动降级并更新 GRUB）
硬件配置：4 vCPU / 8GB RAM / 50GB 磁盘
测试账号：普通用户 luo (uid=1000)

漏洞复现

01

环境准备

1.降级内核至 7.0.0-30-generic，确保所有依赖（如 ZFS 模块）完整。
2.更新 GRUB 引导，重启并选择目标内核进入系统。
3.验证内核版本：uname -r 输出 7.0.0-30-generic。

02

获取并编译Poc

1.从 GitHub 获取 PoC 源码（V4bel/InfinityCore 的 timer 分支）。

（https://github.com/V4bel/InfinityCore.git）

2.使用 gcc 编译

1. gcc -O2 -pthread -o exp CVE-2026-98260-ubuntu.c

03

执行提权

1.构造用于验证的测试命令文件：

1. echo \"id\"> cmds.txt

1. 以普通用户 luo 身份运行 PoC

1. ./exp < cmds.txt

复现结果与验证

执行前：当前用户为 luo，执行 id 返回 uid=1000(luo)。
执行后：PoC 运行约 30 秒后，成功弹出 root shell，终端提示符变为 #。
验证成功：执行 id 命令，返回 uid=0(root) gid=0(root) groups=0(root)…。

1. 免责声明：由于传播、利用本公众号凌日网络与信息安全团队所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号凌日网络与信息安全团队及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！

文案|郑榆曦、冉子晗、冉喜玲

排版|孟凡杰

校正|李昕洋

审核|林炳辰