一个名为PinTheft的Linux内核漏洞最近被公开。安全研究者对其在Debian系统上的实际表现进行了测试，结果呈现出两种截然不同的画面——取决于你是否启用了SELinux的严格模式。
测试环境是Debian/Testing，内核版本6.12.74+deb13+1-amd64。研究者分别在两种SELinux安全上下文中运行漏洞利用程序：普通用户域user_t和无限制域unconfined_t。
在user_t环境下，审计日志记录了明确的拦截行为：系统拒绝了exp进程创建rds_socket的请求，syscall返回-13（EACCES，权限被拒绝）。漏洞利用程序连续尝试5次后失败退出，最终"stole 0/1024 refs"，未能完成攻击链。
切换到unconfined_t后，情况发生变化。初始运行时，strace显示大量"EAFNOSUPPORT"错误——RDS协议族未被内核支持。研究者手动加载rds模块后，漏洞成功触发：页缓存被覆盖为包含setuid(0)和execve("/bin/sh")的ELF shellcode，/usr/bin/su被执行，最终获得root shell。
关键差异在于SELinux的配置策略。user_t作为受限域，其权限集被显式约束，rds_socket的创建操作被安全策略阻断；unconfined_t则几乎不受限制，一旦内核模块条件满足，攻击面完全暴露。
研究者并未深入调查Debian默认是否加载rds模块，而是明确表态：相比依赖模块加载控制这种易变的环境因素，SELinux提供的强制访问控制才是更值得依赖的防御层。这一立场指向一个长期存在的安全架构争议——是信任"默认安全"的发行版配置，还是部署额外的强制访问控制系统。
PinTheft的技术细节尚未在公开资料中完全披露，但从测试现象推断，其利用路径涉及Linux的RDS（Reliable Datagram Sockets）子系统与页缓存机制的交互。RDS最初为Oracle集群通信设计，在现代服务器部署中已较少使用，但仍存在于主流发行版的内核模块中。
这一案例的实用价值在于验证了一个常被忽视的安全实践：SELinux的"严格"（strict）或"目标"（targeted）策略并非仅服务于合规审计，在特定漏洞场景下能形成实质性的利用阻断。对于运行多租户环境或高价值服务的系统管理员，此次测试提供了一个具体的决策参考点——当漏洞利用代码公开后，现有安全控制能否在无补丁窗口期内争取时间。
热门跟贴