Linux内核13年旧洞CVE-2026-52923：UAF本地提权POC公开

导语：一个潜伏在Linux内核中长达13年的Use-After-Free漏洞，终于被NebuSec安全团队挖了出来。攻击者只需本地低权限账号，即可触发内核内存损坏，最终拿到root。该漏洞影响Red Hat Enterprise Linux 10，POC已公开——在你读这篇文章的时候，或许已经有人在内网服务器上跑起来了。

一、漏洞概述

CVE-2026-52923是Linux内核SysV进程间通信（IPC）子系统中的一个经典UAF漏洞。

漏洞根因很有意思：内核在分配IPC标识符时，没有对next_id参数做上界检查。攻击者通过checkpoint/restore（CRIU）路径的sysctl接口，可以迫使ipc_idr_alloc()将对象存入超过ipc_mni限制的IDR槽位。后续删除操作时，ipc_rmid()用ipcid_to_idx()截断ID，导致本该删除的高槽位对象没被删除，而低槽位的已释放对象却被错误移除——形成经典的释放后重用。

Red Hat评分：CVSS 5.8（Local/High/PrivLow/NoAuth），但SentinelOne指出，结合内核堆喷技术，权限提升到root完全可行。

二、技术细节

2.1 漏洞位置

问题出在ipc_idr_alloc()函数（内核IPC子系统），具体在CRIU检查点/恢复路径的sysctl接口：

// 有问题的代码（修复前）
idr_alloc(&ids->ipcs_idr, new, ipcid_to_idx(next_id), 0, ...)
//                                  ↑ 上界为0，即无上界

正确逻辑应该是上界限制在ipc_mni以内，但代码传了0，导致分配可以溢出到有效ID范围之外。

2.2 攻击路径

共享内存场景下的攻击流程：

填满有效IPC尾区：攻击者创建大量SysV共享内存段，占满ipc_mni允许的范围
触发越界分配：通过写/proc/sys/kernel/shm_next_id，迫使ipc_idr_alloc()将新对象分配到超出ipc_mni的IDR槽位
UAF触发：对象释放时，shm_destroy()只释放了当前对象，但高IDR槽位的对象仍被引用
读取即崩溃：后续遍历/proc/sysvipc/shm时，内核会解引用那个已释放的悬空指针——内核崩溃，攻击者拿到crash日志甚至进一步利用

2.3 影响范围

漏洞于2013年1月引入，2026年5月才在上游主线修复，backport到RHEL的时间是2026年8月11日。这意味着：

所有使用默认内核的RHEL 10系统，在8月11日之前都处于易受攻击状态
使用主线内核但未及时更新的服务器同样受影响
CRIU（Checkpoint/Restore In Userspace）用户是主要攻击面

三、POC公开

NebuSec团队已在GitHub公开了完整POC，地址：

https://github.com/nebu-sec/CVE-2026-52923

推文获得了72个点赞和广泛转发，说明漏洞利用难度并非极高，有经验的攻击者完全可以在数小时内完成适配。

四、检测与修复

检测方法

检查当前内核版本是否已修复：

# 查看当前内核版本
uname -r

# 对比修复 commit 是否在版本中
# 关键修复 commit：
# 157ce2c6、3bbe2bb9、41058d4c、8c58a928、a3cc7951 等

# 检查系统是否开启 KASAN（内核调试功能）
dmesg | grep -i "kasan"

监控指标：

/proc/sys/kernel/shm_next_id、kernel.msg_next_id、kernel.sem_next_id的异常写入（非CRIU工作负载触发即异常）
内核日志中出现KASAN: use-after-free相关崩溃
shm_destroy、ipc_rmid、sysvipc_proc_show相关内核oops