這是一篇關於 Linux 核心漏洞 GhostLock (CVE-2026-43499) 的技術分析。對於許多工程師來說，核心漏洞聽起來很遙遠，但這個漏洞的特點在於它存在的時間極長，且影響範圍幾乎涵蓋所有主流 Linux 發行版。
漏洞背景與核心原理
GhostLock 是一個典型的 Use-After-Free (UAF) 漏洞。簡單來說，UAF 是指程式在釋放了一塊記憶體後，仍然嘗試去讀取或寫入該記憶體位址。因為該位址可能已經被系統重新分配給其他用途，攻擊者可以藉此篡改關鍵數據或執行惡意指令。
這個漏洞發生在 Linux 核心處理任務優先級的機制中。為了防止緊急任務被瑣碎任務阻塞，核心有一套清理機制，在任務停止等待後回收資源。然而，在某些極端情況下，當鎖定操作 (Lock operation) 失敗需要回溯時，清理程序會在錯誤的時間點執行，導致核心刪除了錯誤的任務記錄。
結果就是核心留下了一個失效的指標 (Stale Pointer)，指向了一塊已經被回收且可能被重新利用的記憶體。攻擊者可以利用這個錯誤，透過精心設計的執行路徑，欺騙核心以最高權限 (Root) 執行其自定義代碼。
為什麼這個漏洞如此危險
首先是極高的可靠性。研究團隊 Nebula Security 測試顯示，該漏洞的利用成功率高達 97%，且在測試環境中僅需約 5 秒即可完成權限提升。
其次是容器逃逸 (Container Escape) 的能力。在現代雲端架構中，容器（如 Docker）依賴核心的隔離機制。但由於 GhostLock 是直接作用於 Linux 核心，一旦攻擊者在容器內成功觸發此漏洞，他們可以突破容器的邊界，直接控制宿主機 (Host Machine) 的 Root 權限。
最後是隱蔽性。該漏洞不需要特殊的權限、特殊的系統設定，甚至不需要網路連接。只要攻擊者能以任何普通用戶身份登入系統，透過常規的執行緒調用 (Threading calls) 即可觸發。
從本地漏洞到遠端攻擊的連鎖反應
很多人會認為本地權限提升 (Privilege Escalation) 漏洞風險較低，因為攻擊者必須先進入系統。但實際上，這類漏洞經常被用作攻擊鏈 (Attack Chain) 的最後一環。
Nebula Security 展示了一個名為 IonStack 的攻擊鏈：首先利用 Firefox 瀏覽器的漏洞 (CVE-2026-10702) 突破瀏覽器沙箱並在系統中執行代碼，接著立即接上 GhostLock 漏洞來獲取 Root 權限。這意味著使用者只要點擊一個惡意連結，攻擊者就能從遠端直接接管整個 Android 裝置或 Linux 主機。
實務上的應對與修補建議
目前最有效的解決方案是更新 Linux 核心。但這裡有一個重要的實務陷阱：早期的修補版本中引入了一個導致系統崩潰的新漏洞 (CVE-2026-53166)。因此，工程師不應僅僅安裝第一個修補版本，而應確保更新到最新且經過驗證的穩定版本。
針對不同環境的優先級建議
對於共享主機、多租戶環境 (Multi-tenant)、雲端伺服器、容器平台以及 CI/CD 執行器 (Runners)，應將其列為最高優先級的更新對象。因為這些環境最容易讓攻擊者獲得初步的本地登入權限。
雖然有些編譯選項如 RANDOMIZE_KSTACK_OFFSET (隨機化核心棧偏移) 能增加攻擊難度，但它們僅是緩解措施 (Mitigation)，而非根本修復。
總結與反思
GhostLock 的發現揭示了一個趨勢：許多潛伏多年的舊代碼正在被 AI 驅動的漏洞獵捕工具（如 VEGA）挖掘出來。這提醒我們，即便是不常更動的基礎設施代碼，隨著分析工具的演進，舊有的漏洞隨時可能被重新激活。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。