《Array》：ExpLinux: Reproducible Linux kernel exploit labs from public CVE disclosures
编辑推荐：
摘要：到2026年，针对Linux内核权限提升（LPE）漏洞的公开概念验证（PoC）利用几乎总是可以通过一次git clone获得。然而，绝大多数此类PoC在真正的研究意义上并不可复现：它们与发现者的发行版、内核构建、缓解配置、slab缓存状态以及机器特定的时
摘要：到2026年，针对Linux内核权限提升（LPE）漏洞的公开概念验证（PoC）利用几乎总是可以通过一次git clone获得。然而，绝大多数此类PoC在真正的研究意义上并不可复现：它们与发现者的发行版、内核构建、缓解配置、slab缓存状态以及机器特定的时序紧密绑定。本研究认为，公开PoC与可复现制品之间的差距是结构性的，弥合这一差距既不需要另一个模糊测试器，也不需要另一个自动漏洞利用生成器，而是需要两个要素的结合：一个声明式基础设施层，用于固定主机间变化的所有因素；以及一个自动化层，用于处理每CVE的“阅读报告、移植PoC、验证实验”工作，否则这些工作必须在每次披露时手动重复。研究人员提出了ExpLinux，一种结合了这两个要素的自适应方法论和框架。公开CVE制品，包括报告、公开PoC、现有漏洞利用以及未来可能来自模糊测试器的崩溃包，通过一个五阶段方法论被转化为确定性的、考虑缓解措施的漏洞利用实验。该方法的两个智能体驱动阶段由大型语言模型（LLM）智能体执行。实验是一个自包含的、版本固定的、主机控制的QEMU环境，其中漏洞按需触发，缓解配置文件是一个声明的输入而非主机的涌现属性，并且验证遵循明确的复现性契约。研究人员将实验所涉及的技术组织成一个包含七行的原始分类法（primitive taxonomy），其中包括本工作中新增的凭证交换（cred-swap）行，并将其与凭证覆盖（cred-overwrite）区分开来。该分类法记录了每种原始技术受内核缓解措施影响的条件。研究人员在十个完全验证的工作示例和一个脚手架示例上实例化并评估了该方法论，涵盖了多个漏洞类别和内核子系统，固定内核从v5.15到v6.18。实证评估沿着五个维度进行：重放确定性、智能体工作量与人工修正、智能体壁钟时间到实验产出、在一个精选的30个CVE Linux LPE语料库上的原始技术覆盖率，以及与原始公开PoC和手动固定基线的比较。一条并行的、源自模糊测试器的输入路径也通过端到端的方式在受控易受攻击模块上进行了驱动。
论文解读
研究背景与问题
在现代操作系统安全研究中，Linux内核漏洞分析与利用是一个核心领域。随着内核安全机制的日益复杂，研究人员面临着一个严峻的结构性问题：虽然大多数重要的Linux本地权限提升（Local Privilege Escalation, LPE）漏洞在补丁发布后不久都会伴随公开的概念验证（Proof-of-Concept, PoC）利用代码，但这些PoC代码几乎都不具备真正的可复现性。Mu等人的实证研究表明，这种可复现性缺口是普遍现象而非例外。具体而言，公开PoC严重依赖于发现者特定的发行版、内核构建版本、内核缓解措施配置、slab缓存状态以及机器特定的时序条件。当其他研究人员数月后希望重新审视某个CVE以验证防御措施、比较相关漏洞、用于教学或将其输入下游分析流水线时，会发现相当一部分原始PoC已经无法编译、无法触发或在目标内核上无法完成提权。因此，弥合公开PoC与可复现制品之间的结构性差距成为一项迫切需求。
研究内容与结论
为解决上述问题，研究人员提出了ExpLinux——一个自适应的方法论和框架。其核心思想是：既不需要开发新的模糊测试器，也不需要构建全自动的漏洞利用生成器，而是通过两个关键组件的结合来实现目标：一是声明式的基础设施层，用于固定所有在主机间变化的因素；二是自动化层，用于处理每CVE的“阅读报告、移植PoC、验证实验”这一重复性工作。研究人员的主要贡献包括三个方面：第一，提出了一种自适应的CVE到实验方法论，其正确性不依赖于对自动化的信任；第二，建立了一个同时作为智能体知识图谱的原始分类法（primitive taxonomy），其中特别区分了凭证交换（cred-swap）与凭证覆盖（cred-overwrite）；第三，构建了一个四轴可复现性框架，带有明确的确定性契约。该研究的结论表明，通过将环境依赖显式化为声明式输入，并利用大型语言模型（Large Language Model, LLM）智能体辅助移植工作，可以系统性地将公开CVE制品转化为确定性、可复现的漏洞利用实验。这一工作填补了公开CVE/PoC语料库与安全教育培训框架之间的空白区域。
关键技术方法
研究人员采用了五阶段方法论将公开CVE制品转化为可复现实验：导入（import）、评估（assess）、开发（develop）、加固（harden）、推广（promote）。其中，第一阶段（导入）、第四阶段（加固）和第五阶段（推广）是机械化的，实现为命令行工具；第二阶段（评估）和第三阶段（开发）由LLM智能体（Claude Opus 4.7）负责，通过交互式Claude Code会话驱动。框架通过四个轴固定每个实验的客户机状态：（a）内核镜像与配置，（b）根文件系统（rootfs），（c）启动时缓解措施配置文件（KASLR、SMEP、SMAP、KPTI），以及（d）加载到运行中客户机的内核模块集合。实验在QEMU环境中运行，采用快照模式确保每次运行的环境一致性。对于模糊测试器衍生路径，研究人员集成了SyzDescribe风格的syscall描述自动生成器，使同一方法论能够处理来自syzkaller等模糊测试器的崩溃包。
研究结果
1. 引言与相关工作
研究人员指出，公开PoC与可复现制品之间存在结构性差距，并论证了弥合此差距需要声明式基础设施与自动化层的结合。通过对现有工作的梳理，研究人员将相关研究分为三个家族：公开CVE/PoC语料库及其可复现性研究、安全研究与教育领域的漏洞利用实验框架、以及自动化内核漏洞利用与模糊测试系统。ExpLinux占据了前两者之间的空白区域：由人工策展、源自公开CVE制品的可复现实验。
2. 背景
研究人员介绍了贯穿全文的两个主题：现代Linux LPE CVE中反复出现的七种漏洞利用原始技术，以及四种制约它们的核心内核缓解措施。七种原始技术包括：页缓存写入（page-cache write）、凭证覆盖（credential overwrite）、凭证交换（credential swap）、modprobe_path覆盖、页表破坏（page-table corruption）、msg_msg介导的任意读/写（AAR/AAW）、以及跨缓存slab破坏（cross-cache slab corruption）。四种内核缓解措施为：KASLR、SMEP、SMAP和KPTI。
3. CVE到实验的五阶段过程
研究人员详细描述了五阶段方法论的具体实施。在导入阶段，import.sh脚本获取CVE元数据、托管公开PoC仓库并渲染实验骨架。在评估阶段，LLM智能体读取公开报告和托管PoC，在manifest.json中记录四项决策：目标内核构建、缓解配置文件、启动模式以及是否需要自定义内核模块。在开发阶段，智能体将托管PoC移植到框架的约定接口中，并与harden.sh脚本迭代直至漏洞稳定触发。在加固阶段，harden.sh脚本在快照模式下重复指定客户机命令N次，捕获串行控制台日志并计算SHA-256哈希值，若所有切片哈希一致则报告STABLE。在推广阶段，promote.sh脚本检查实验目录的完整性并在全局索引中注册。
4. 工作示例
研究人员通过六个工作示例说明了五阶段过程。Copy Fail（CVE-2026-31431）是一个逻辑缺陷，展示了如何将基于AF_ALG套接字的页缓存写入漏洞转化为确定性实验。Dirty Frag（CVE-2026-43284）在公开披露后三天内即被成功移植，总耗时约两小时半。Flipping Pages（CVE-2024-1086）是一个高知名度在野漏洞，其漏洞利用后会导致内核恐慌（kernel panic），因此加固阶段无法使用多轮哈希协议。供应商批次移植（vendor-track porting）展示了在一次连续会话中将四个来自同一披露批次的漏洞全部移植的过程，包括Fragnesia、DirtyDecrypt、PinTheft和一个skb_segment变体。qaic页面级释放后使用（use-after-free）实验则验证了方法论在设备驱动程序攻击面和更新内核版本上的适用性。
5. 原始分类法
研究人员建立了一个包含七行的原始分类法矩阵，记录了每种原始技术的子系统来源、受KASLR/SMEP/SMAP/KPTI四种缓解措施影响的情况、代表性CVE以及对应的ExpLinux实验。特别地，凭证交换（cred-swap）行在本工作中被新增并区别于凭证覆盖（cred-overwrite），因为两者的绕过要求不同：任意写入原语足以实现凭证覆盖，而凭证交换需要cred slab上可达的释放后使用或双重释放以及可获胜的竞态条件。
6. 可复现性框架
研究人员区分了三种可复现性契约：契约A（漏洞效应）要求指定的漏洞效应在独立运行中重现；契约B（串行日志摘要）要求指定命令期间捕获的串行日志具有相同的摘要；契约C（构建过程加触发器）要求托管源代码和脚本化设置能复现构建过程并报告触发器观察结果。这三种契约描述了不同的证据类型而非强度排序。
7. 实证评估
实证评估沿着五个维度展开：重放确定性、智能体工作量与人工修正、智能体壁钟时间到实验产出、在精选30个CVE Linux LPE语料库上的原始技术覆盖率、以及与原始公开PoC和手动固定基线的比较。结果表明，所有实验在加固阶段均达到STABLE状态，但不同实验适用的可复现性契约不同。智能体在开发阶段的平均时间投入约为数小时，而人类修正主要集中在偏移量调整和环境依赖处理上。在30个CVE语料库上，ExpLinux的实验覆盖了其中约三分之一的漏洞，覆盖了七种原始技术中的六种。
讨论与结论
在讨论部分，研究人员指出了方法论的多项局限性。首先，LLM智能体的可靠性依赖于知识库的质量和人类监督的有效性，智能体可能在处理不熟悉的漏洞类型时出错。其次，当前框架尚未实现对生产驱动程序中新漏洞的发现，这仍是未来的扩展方向。第三，某些漏洞利用后的内核状态（如内核恐慌）使得标准的加固协议难以应用，需要专门的崩溃感知重放机制。第四，跨内核版本的移植仍然可能遇到未预期的兼容性问题，如skb_segment变体在v6.6内核上因XFRM_MSG_NEWSA门控失败而无法工作。此外，研究人员还提到了对内部效度和外部效度的潜在威胁，包括实验环境与真实部署环境的差异、所选CVE样本的代表性等。
研究结论部分明确指出：ExpLinux通过将环境依赖显式化为声明式输入，并结合LLM智能体辅助的自动化移植，能够系统性地将公开CVE制品转化为确定性、可复现的漏洞利用实验。该方法论的核心价值在于提供了一个可度量的可复现性契约框架，使研究人员能够精确理解每个实验在何种条件下是可复现的。三个技术贡献——自适应的CVE到实验方法论、兼具智能体知识图谱功能的原始分类法、以及带有明确确定性契约的四轴可复现性框架——共同构成了连接公开漏洞信息与可复现安全研究的基础设施。
