yuyu的官网

一、什么是 CVE？#

CVE（Common Vulnerabilities and Exposures，通用漏洞披露）是一个公开的漏洞数据库，为每个安全漏洞分配唯一编号。Linux 内核和周边软件历史上出现过大量高危 CVE，其中一些影响深远，成为安全领域的经典案例。

本文盘点 Linux 生态中最具代表性的十个 CVE，涵盖提权、远程代码执行、认证绕过等类型。

1. Shellshock（CVE-2014-6271）#

影响组件：Bash shell

类型：远程代码执行

危害等级：严重

原理：Bash 在处理环境变量时存在逻辑缺陷。如果环境变量的值以 ”() {” 开头，Bash 会将其解析为函数定义并执行。漏洞在于 Bash 执行完函数定义后没有停止处理，而是继续执行函数体后面的命令。攻击者可以构造一个恶意环境变量，让 Bash 执行任意命令。

影响：Shellshock 可通过 CGI 脚本、SSH ForceCommand、DHCP 客户端等途径被远程利用。攻击者能执行任意命令，将未打补丁的机器变成僵尸网络肉鸡。

修复：升级 Bash 到 4.3 及以上版本。

2. Dirty COW（CVE-2016-5195）#

影响组件：Linux 内核

类型：本地提权

危害等级：高危

原理：Dirty COW 利用了 Linux 内核 Copy-on-Write（写时复制）机制中的竞态条件。当多个进程同时请求写入同一个只读内存页时，内核的 COW 逻辑存在一个窗口。攻击者可利用这个窗口以只读方式写入内存页，从而覆盖系统关键文件如 /etc/passwd。

影响：本地用户可借此获取 root 权限。漏洞存在了 9 年才被发现和修复，几乎所有 Linux 发行版都受影响。

修复：升级内核到修复版本，各发行版于 2016 年 10 月发布补丁。

3. Dirty Pipe（CVE-2022-0847）#

影响组件：Linux 内核 5.8 至 5.16

类型：本地提权

危害等级：高危

原理：Dirty Pipe 是 Dirty COW 的升级版。漏洞源于内核 pipe 实现中的标志位传递缺陷。攻击者可以创建一个管道，利用 splice 系统调用将只读文件页连接到管道缓冲区，然后向管道写入数据，数据会被合并到只读文件页中，从而绕过写保护。

攻击步骤简化版：第一步创建管道并填充数据设置 PIPE_BUF_FLAG_CAN_MERGE 标志，第二步使用 splice 连接只读文件页到管道，第三步向管道写入数据，第四步数据被合并到文件页，绕过 COW 保护。

影响：攻击者可修改 /etc/passwd 注入 root 用户，无需密码即可 su root。内核 5.8 以后所有版本受影响，包括当时所有主流发行版。

修复：升级内核到 5.16.11、5.15.25、5.10.102 或更高版本。

4. Futex 提权（CVE-2014-3153）#

影响组件：Linux 内核 futex 子系统

类型：本地提权

危害等级：高危

原理：FUTEX_REQUEUE 操作在处理优先级继承时存在缺陷。本地用户可以通过精心构造的 futex 调用序列，在内核中实现任意内存写入，从而获取 root 权限。

影响：这个漏洞被用于著名的 Towelroot 工具，影响了大量 Android 设备。

修复：升级内核到 3.14.5 及以上版本。

5. OverlayFS 提权（CVE-2015-8660）#

影响组件：Linux 内核 overlayfs

类型：本地提权

危害等级：高危

原理：OverlayFS 在处理文件属性时存在权限检查缺陷。本地用户可以创建一个 overlay 文件系统，将不可执行文件映射为可执行，或者修改本应只读的文件权限，从而获取 root。

影响：容器环境中尤为危险，因为 overlayfs 是 Docker 的默认存储驱动。

修复：升级内核到修复版本。

6. perf_swevent_init 整数溢出（CVE-2013-2094）#

影响组件：Linux 内核 perf 子系统

类型：本地提权

危害等级：高危

原理：perf_swevent_init 函数在处理 attr.config 时存在整数处理错误。本地用户可以通过构造特定参数，触发内存破坏并执行任意代码，获取 root 权限。

修复：升级内核到 3.8.10 及以上版本。

7. n_tty_write 双重释放（CVE-2014-0196）#

影响组件：Linux 内核 n_tty_write

类型：本地提权与拒绝服务

危害等级：高危

原理：n_tty_write 函数中的竞态条件允许本地用户触发内存破坏，导致系统崩溃或潜在提权。这个漏洞被收录在 CISA 的已知被利用漏洞目录中。

修复：升级内核到修复版本。

8. TCP 会话劫持（CVE-2016-5696）#

影响组件：Linux 内核 TCP 实现

类型：远程攻击

危害等级：中危

原理：Linux 内核在处理 TCP challenge ACK 时泄漏了足够的信息，使远程攻击者可以实施盲窗口内攻击，更容易地劫持 TCP 会话。

影响：攻击者可干扰或劫持用户与服务器之间的 TCP 连接。

修复：升级内核到 4.6 及以上版本。

9. Keyring 引用计数漏洞（CVE-2016-0728）#

影响组件：Linux 内核 keyring 子系统

类型：本地提权

危害等级：高危

原理：keyring 子系统在处理引用计数时存在溢出缺陷。本地用户可以通过反复添加和删除密钥，触发 use-after-free，进而获取 root 权限或导致拒绝服务。

修复：升级内核到修复版本。

10. ESP 模块提权（CVE-2026-43503，DirtyClone）#

影响组件：Linux 内核网络子系统

类型：本地提权

危害等级：高危，CVSS 8.8

原理：这是 2026 年披露的 Dirty 漏洞家族新成员。问题出在内核网络栈中 SKB 标志位传播的缺陷上。攻击者可以利用克隆网络数据包的方式，在内核中实现页面缓存污染，从而获取 root 权限。

影响：2017 年以来发布的所有 Linux 版本均受影响，包括 7.0.4 内核。云环境中多租户共享 GPU 节点的场景尤其危险。

修复：安装发行版内核补丁并重启。临时缓解措施为禁用非特权用户命名空间。

总结#

CVE-2014-6271 Shellshock，远程代码执行，影响 Bash。

CVE-2016-5195 Dirty COW，本地提权，影响内核。

CVE-2022-0847 Dirty Pipe，本地提权，影响内核 5.8 以上。

CVE-2014-3153 Futex，本地提权，影响内核。

CVE-2015-8660 OverlayFS，本地提权，影响 overlayfs。

CVE-2013-2094 perf_swevent，本地提权，影响 perf。

CVE-2014-0196 n_tty_write，本地提权，影响 TTY。

CVE-2016-5696 TCP 劫持，远程攻击，影响 TCP。

CVE-2016-0728 Keyring，本地提权，影响 keyring。

CVE-2026-43503 DirtyClone，本地提权，影响内核网络子系统。

保持内核更新是防御这些漏洞的根本方式。