CVE-2025-40271

🔴 CVE-2025-40271：Linux 内核中严重的使用后释放漏洞

---

🛡️ 漏洞详情

CVE-2025-40271 是一个影响 Linux 内核 /proc 文件系统的 严重使用后释放（UAF）漏洞。该缺陷存在于负责列出 /proc 中目录内容的 proc_readdir_de() 函数中。

🔍 问题所在

当通过 rb_erase() 从二叉搜索树（rbtree）中删除一个 目录项（PDE） 时，内核未将该节点标记为空。这会导致一种危险情况：

• 如果某个进程正在读取目录（例如 /proc/pid/net/dev_snmp6/），而另一个进程同时删除网络接口（如 tun 设备），则指针可能指向已释放的内存。
• 当尝试访问树中的下一个节点时，内核使用了无效内存，导致：
  • 内核恐慌（系统崩溃）。
  • 可能的恶意代码执行（如果攻击者利用了竞态条件）。

---

📊 状态与指标

---

🛠️ 解决方案（补丁）

内核开发团队实现了一个关键补丁，将节点的处理替换为 RB_CLEAR_NODE()。这可确保：

• 从树中删除节点后，任何读取尝试都会返回 NULL，而不是指向已释放内存的指针。
• 通过正确使节点失效，避免了 UAF。

📌 已修补的内核版本

该补丁已可在以下稳定分支中使用：

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 官方参考（Git Kernel.org）

要查看补丁的确切代码，请查阅以下提交：

• 提交 03de7ff
• 提交 6f24827

---

📜 技术描述（NIST）

“在 Linux 内核中，已解决以下漏洞：fs/proc: fix uaf in proc_readdir_de(). PDE 通过 rb_erase() 从子目录二叉搜索树中删除，但未将节点设置为 EMPTY，这可能导致 UAF 访问。我们应该使用 RB_CLEAR_NODE() 将已删除的节点设置为 EMPTY，这样 pde_subdir_next() 将返回 NULL 以避免 UAF 访问。”

🔄 重现问题的步骤

1. 进程 1：使用 getdent 遍历 /proc/pid/net/dev_snmp6/（当前指针为 tun3）。
2. 进程 2：在关键时间窗口内，注销网络设备（tun3 和 tun2），将其从树中删除。
   • 首先删除 tun3，然后删除 tun2（释放到 slab）。
3. 进程 1：继续使用 getdent 遍历，但 pde_subdir_next() 返回已释放的 tun2，导致 UAF。

---

📊 弱点类型枚举

---

🔗 有用链接

---

⚠️ 最终建议： 如果你使用的是 内核版本 6.1.x、6.6.x、6.12.x 或 6.13.x，请立即更新到已修补的版本。如果无法更新，请考虑手动应用这些提交，或通过安全策略（例如 chroot、SELinux）限制对 /proc 的访问。