گزارش اثبات آسیب‌پذیری CVE-2026-43499

اطلاعات آسیب‌پذیری

عنوان: آسیب‌پذیری GhostLock از نوع Use-After-Free در مدیریت RT Mutex در Linux Kernel   با امکان افزایش سطح دسترسی تا Root

شناسه: CVE-2026-43499

وضعیت مشاوره: Advisory / Patch Available

امتیاز:  CVSS: 7.8 (High)

محصول: Linux Kernel (هسته لینوکس و سیستم ‌عامل ‌های مبتنی بر آن مانند Android)

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر:

• نسخه ‌های کرنل لینوکس ۲.۶.۳۹ تا ۶.۱.۱۷۵ (به استثنای ۶.۱.۱۷۵)
• نسخه‌ های کرنل لینوکس ۶.۲ تا ۶.۶.۱۴۰ (به استثنای ۶.۶.۱۴۰)
• نسخه ‌های کرنل لینوکس ۶.۷ تا ۶.۱۲.۸۶ (به استثنای ۶.۱۲.۸۶)
• نسخه ‌های کرنل لینوکس ۶.۱۳ تا ۶.۱۸.۲۷ (به استثنای ۶.۱۸.۲۷)
• نسخه‌ های کرنل لینوکس ۶.۱۹ تا ۷.۰.۴ (به استثنای ۷.۰.۴)
• دستگاه های Android مبتنی بر هسته GKI (مانند برخی مدل های Pixel و سامسونگ) که نسخه های آسیب پذیر را اجرا می کنند

محیط‌های درگیر

• تمام سرورها و ایستگاه های کاری لینوکسی با هسته آسیب پذیر
• محیط های Cloud و Container که از هسته میزبان مشترک استفاده میکنند
• زیرساخت های CI/CD که امکان فرار از کانتینر به میزبان را فراهم می‌کند
• دستگاه های Android با هسته آسیب پذیر

کامپوننت‌های آسیب‌پذیر

• فایل kernel/locking/rtmutex.c، پیاده‌سازی Real-Time Mutex در هسته لینوکس
• تابع remove_waiter()، پاک‌کننده صف انتظار در مسیر PI
• سیستم‌کال futex(2) با پرچم ‌هایPI مانند ( FUTEX_WAIT_REQUEUE_PI و FUTEX_CMP_REQUEUE_PI)

ریشه مشکل (Root Cause Analysis)

CVE-2026-43499 که توسط Nebula Security با نام GhostLock معرفی شده است، این آسیب پذیری ناشی از مدیریت نادرست طول عمر (lifetime management) ساختارهای waiter در مسیر timeout مربوط به futex PI requeue است. در شرایط deadlock، مسیر cleanup پس از انقضای timeout همچنان به داده ‌های ذخیره‌ شده روی stack کرنل اعتماد می‌کند، در حالی که این داده ‌ها دیگر معتبر نبوده و ممکن است توسط syscall های دیگر بازنویسی شده باشند. این وضعیت منجر به یک Kernel Stack Use-After-Free قابل کنترل توسط مهاجم شده و امکان ساخت primitive های قدرتمند برای افشای حافظه، خواندن/نوشتن دلخواه در کرنل و در نهایت ارتقای سطح دسترسی تا root را فراهم می‌کند.

تابع remove_waiter() در هسته لینوکس وظیفه پاک ‌سازی یک waiter از صف انتظار یک rtmutex را بر عهده دارد. این تابع برای مسیر عادی (self-blocking slow path) طراحی شده است، جایی که current (وظیفه در حال اجرا) همان waiter است.

مرحله 1: ایجاد PI Requeue

مکانیزم requeue پی‌آی (PI) در futex لینوکس برای انتقال یک waiter که بر روی futex_A در حال انتظار است، به زنجیره ‌ی انتظار PI مربوط به futex_B استفاده می‌شود. یک سناریوی معمول برای این کار، تابع pthread_cond_broadcast در سطح زیرین است. این مکانیزم شامل دو عملیات زیر می‌شود:

ابتدا یک thread روی futex A منتظر می‌ماند:

FUTEX_WAIT_REQUEUE_PI(uaddr_A, timeout, uaddr_B) // Waiting on A, expected to be requeued to B.

سپس توسط:

FUTEX_CMP_REQUEUE_PI(uaddr_A, nr, uaddr_B) // Requeue the waiter on A to B.

از آنجایی که B یک futex از نوع PI است، waiter به درخت انتظار PI مربوط به rt_mutex متعلق به B اضافه شده و در فرآیند ارث ‌بری اولویت (Priority Inheritance) شرکت داده می‌شود

مرحله 2: ایجاد Deadlock

PoC ارائه‌شده توسط Nebula از سه futex و سه thread برای ساختن یک حلقه وابستگی استفاده می‌کند:

owner  -> waits on chain

waiter -> waits on target

در نهایت وضعیت زیر ایجاد می‌شود:

owner thread

holds f_pi_target

waits on f_pi_chain

waiter thread

holds f_pi_chain

waits on f_pi_target

بنابراین یک deadlock در PI chain شکل می‌گیرد

مرحله 3: Timeout

پس از پایان timeout مربوط به:

FUTEX_WAIT_REQUEUE_PI(..., timeout=5s)

کرنل وارد مسیر rollback می‌شود تا waiter را از درخت PI حذف کند.

مرحله 4: استفاده از داده‌های منقضی‌شده

اشکال اصلی در همین مرحله رخ می‌دهد. کد cleanup برای بازگردانی وضعیت PI به ساختارهایی مراجعه می‌کند که آدرس آن ‌ها قبلاً روی stack ذخیره شده است. اما در این زمان:

• frame اولیه دیگر معتبر نیست
• stack کرنل ممکن است آزاد یا reuse شده باشد
• محتوای آن توسط syscall های دیگر بازنویسی شده باشد

با وجود این، cleanup همچنان همان pointer ها را معتبر فرض می‌کند و روی آن‌ ها عملیات انجام می‌دهد.

برخلاف بسیاری از آسیب ‌پذیری‌ های UAF که روی slab یا heap رخ می‌دهند، GhostLock مستقیماً روی stack کرنل اتفاق می‌افتد بنابراین تکنیک‌ های سنتی heap feng shui کاربرد محدودی دارند. در عوض هر syscall که بتواند داده‌ های کنترل ‌شده را روی stack کرنل قرار دهد می‌تواند برای overwrite کردن frame قدیمی استفاده شود.

آسیب ‌پذیری زمانی قابل بهره‌ برداری می‌شود که مهاجم بتواند پیش از اجرای cleanup، محتوای stack را با داده ‌های دلخواه بازنویسی کند در IonStack این کار از طریق syscall هایی انجام می‌شود که buffer های کاربر را مستقیماً روی stack کرنل کپی می‌کنند. سری توابع ‎stamp_*‎ استفاده شده در کد PoC رویکردهای مختلف کنترل پشته را نشان می‌دهد.

• stamp_prctl
• stamp_socket
• stamp_pselect
• stamp_process_vm
• stamp_keyctl
• stamp_tcp
• stamp_futex

مسیر اصلی مورد استفاده در PoC مبتنی بر pselect6() است در این روش پارامترهای fd_set از pselect مستقیماً روی stack کرنل قرار می‌گیرند و مهاجم اشاره‌گرهای جعلی را به fd_set وارد می‌کند و هنگامی که timeout رخ می‌دهد و مسیر پاک ‌سازی می‌شود، این اشاره‌ گرها خوانده می‌شوند و در نتیجه به کنترل ‌پذیری UAF پشته دست می‌یابد.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

هسته لینوکس در مسیر futex_requeue() با پرچم‌ های PI، هنگام rollback از بن ‌بست، تابع remove_waiter() را به اشتباه فراخوانی می‌کند. این اشتباه باعث می‌شود که pi_blocked_on در وظیفه waiter به جای NULL، همچنان به ساختار rt_mutex_waiter آزادشده روی پشته خود اشاره کند. این اشاره‌ گر معلق (dangling pointer) در هر بازرسی بعدی از زنجیره PI (مانند sched_setattr()) می‌تواند باعث Use-After-Free و در نتیجه خرابی حافظه هسته شود.

نحوه سوءاستفاده مهاجم:

• مهاجم یک برنامه معمولی (unprivileged) روی سیستم هدف اجرا می‌کند
• با استفاده از سه futex و سه Thread هماهنگ، یک بن ‌بست Priority Inheritance (PI) ایجاد می‌کند
• مهاجم با استفاده از prctl(PR_SET_MM_MAP)، پشته آزاد شده را با داده ‌های کنترل‌ شده خود بازنویسی می‌کند و یک ساختار جعلی rt_mutex_waiter می‌سازد
• سپس با فراخوانی sched_setattr()، هسته را مجبور به پیمایش زنجیره PI و دنبال کردن اشاره‌ گر جعلی می‌کند
• مهاجم با کنترل دقیق ساختار جعلی، به یک کنترل محدود بر نوشتن (constrained write) در یک آدرس دلخواه هسته دست می‌یابد
• مهاجم با نوشتن روی inet6_protos[IPPROTO_UDP]، یک بسته UDP IPv6 لوپ‌ بک را به سمت کد مخرب خود در CPU Entry Area (CEA) هدایت می‌کند (یک primitive برای اجرای کد)
• سپس بیت ‌های core_pattern را تغییر داده و یک شل با دسترسی root اجرا می‌کند
• مهاجم از یک کاربر معمولی به root تبدیل می‌شود

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب‌ پذیری یک ابزار افزایش سطح دسترسی (Privilege Escalation) کامل و قابل اعتماد در زنجیره حمله محلی محسوب می‌شود. با توجه به نمره CVSS 7.8 (بالا) ، ماهیت محلی (Local)، نیاز به دسترسی سطح پایین (Low Privileges Required)، و قابلیت فرار از کانتینر، مهاجم ابتدا باید از طریق روش دیگری (مثل فیشینگ، بدافزار، یا آسیب‌پذیری دیگر) یک پوسته اولیه روی سیستم قربانی اجرا کند، اما پس از آن می‌تواند طی حدود ۵ ثانیه به root دسترسی پیدا کند.

این آسیب ‌پذیری بخش دوم زنجیره حمله IonStack است . بخش اول (CVE-2026-10702) یک نقص در مرورگر Firefox است که به مهاجم امکان اجرای کد در داخل سندباکس مرورگر را می‌دهد. GhostLock این کد را به root روی سیستم میزبان ارتقا می‌دهد.

پیش‌نیازهای بهره‌برداری (Prerequisites)

• دسترسی محلی به سیستم (حساب کاربری با سطح دسترسی پایین)
• هسته آسیب پذیر با CONFIG_FUTEX_PI فعال
• امکان اجرای برنامه در سیستم
• عدم نصب وصله امنیتی

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

• تابع remove_waiter() باید pi_blocked_on را روی waiter->task پاک کند، نه روی current
• هنگام rollback در مسیر futex_requeue()، pi_blocked_on در وظیفه waiter باید به NULL تنظیم شود تا اشاره‌گر معلق باقی نماند
• در صورت بروز خطا یا شرایط غیرمنتظره در عملیات proxy lock، تمام اشاره‌گرهای باقی‌مانده باید به NULL تنظیم شوند
• پیاده‌سازی اخطارهای ابزارهای تحلیل ایستا برای شناسایی استفاده از current در توابعی که ممکن است به نمایندگی از وظیفه دیگر فراخوانی شوند

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

• بروزرسانی فوری هسته لینوکس
• راه اندازی مجدد سیستم پس از نصب هسته جدید

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

• استفاده از KernelCare Live Patching (برای CloudLinux و سایر توزیع‌ های پشتیبانی‌شده) به عنوان راهکار موقت
• فعال‌سازی kernel.randomize_kstack_offset=1
• محدود کردن دسترسی محلی کاربران، حذف حساب ‌های کاربری غیرضروری و اعمال اصل کمترین دسترسی (Least Privilege)

اقدامات بلندمدت برای کاهش ریسک:

• استقرار راهکارهای خودکار بروزرسانی امنیتی (Patch Management) برای هسته سیستم ‌عامل
• پیاده‌ سازی اصل Zero Trust و Least Privilege در سطح سیستم ‌عامل و شبکه
• اجرای دوره ‌ای تست نفوذ (Penetration Testing) با سناریوهای افزایش سطح دسترسی محلی
• استفاده از راهکارهای EDR و endpoint security برای شناسایی رفتارهای غیرعامل در سطح هسته

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

• پردازه های  با سطح دسترسی پایین که الگوهای غیرعادی از فراخوانی های futex یا عملیات requeue انجام می دهند
• تلاش برای استفاده از prctl(PR_SET_MM, PR_SET_MM_MAP,…) توسط پردازه های غیرمجاز
• اجرای ناگهانی پردازه ها با امتیاز root از حسابهای با سطح دسترسی پایین
• رفتارهای فرار از کانتینر (دسترسی به منابع میزبان)
• crash های هسته یا رفتار غیرعادی در زیرسیستم شبکه (به دلیل دستکاری inet6_protos)
• فعالیت غیرعادی در محیط های Android (بهره برداری از طریق مرورگر)
• اجرای پردازه های غیرمنتظره توسط Firefox

    منابع پیشنهادی برای مانیتورینگ و پایش:

• لاگ‌ های هسته (dmesg و journalctl -k)
• سیستم ‌های SIEM برای جمع ‌آوری و تحلیل مرکزی لاگ‌ ها
• راهکارهای EDR (Endpoint Detection and Response) مانند CrowdStrike، SentinelOne، یا Microsoft Defender for Endpoint

واکنش به حادثه (Incident Response)

• ایزوله ‌سازی فوری، سیستم آسیب ‌دیده را از شبکه جدا کنید تا از حرکت جانبی مهاجم جلوگیری شود
• جمع ‌آوری و حفظ لاگ ‌های crash، لاگ ‌های شبکه برای تحلیل فارنزیک (Forensics)
• پردازه های دارایسطح دسترسی بالا و زمان اجرای آنها را بررسی کنید
• بازنشانی تمام رمزهای عبور کاربران، توکن‌های session، و هر گونه اعتبار دسترسی
• هسته را به نسخه اصلاح شده ارتقا دهید و راه اندازی مجدد انجام دهید
• بررسی یکپارچگی فایل‌ های سیستمی و شناسایی باینری‌ های غیرمجاز
• اسکن کامل سایر سیستم ‌های شبکه برای شناسایی علائم مشابه یا دسترسی مهاجم به آن‌ ها
• مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، مهاجم با دسترسی سطح پایین، از نقص remove_waiter() برای ایجاد یک Use-After-Free در هسته استفاده کرده و با کنترل دقیق حافظه، به root دسترسی پیدا می‌کند.

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

• این آزمایشگاه شامل نسخه آسیب ‌پذیر هسته است
• فایل PoC به نام preload.so با استفاده از adb به دستگاه منتقل شده و سپس با استفاده از دستور زیر آن را اجرا می کنیم

adb shell ‘LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true’

• اجرای PoC در بعضی از دستگاه باعث reboot شدن دستگاه می شود و در مابقی باعث افزایش دسترسی به root می شود
• اجرای PoC در محیط آزمایشگاهی منجر به crash و ریستارت شدن دستگاه و سپس گرفتن دسترسی root در سامانه آسیب‌پذیر شد
• این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-43499

https://nvd.nist.gov/vuln/detail/CVE-2026-43499

https://nebusec.ai/research/ionstack-part-2/

https://nebusec.ai/research/ionstack-part-3/

https://github.com/NebuSec/CyberMeowfia/blob/main/IonStack/CVE-2026-43499/poc/poc.c

https://github.com/No-22-Github/UnPlus/

https://cwe.mitre.org/data/definitions/416.html

// Simplified illustration of the bug in remove_waiter()
// In the requeue-PI rollback path, the function operates on the 
// wrong task, leaving a dangling pointer.