LPE

Ubuntu 内核自带的补丁允许普通用户挂载 OverlayFS，但同步扩展属性时未校验 security.capability 的写入来源，普通用户可在用户命名空间内给文件写入全部特权的能力位并持久化到磁盘，执行后获得 root 权限。CVSS 7.8，影响 Ubuntu 20.10、20.04 LTS、18.04 LTS 等版本的内核。本文基于 Vulhub 靶场复现并拆解利用链。

sudo 在 sudoedit 模式下处理以反斜杠结尾的参数时发生堆缓冲区溢出，攻击者通过精确的堆布局覆盖 NSS 库加载路径，让以 root 身份运行的 sudo 加载恶意共享库，本地普通用户直接获得 root 权限。CVSS 7.8，影响 sudo 1.7.7-1.7.10p9、1.8.2-1.8.31p2、1.9.0-1.9.5p1。本文基于 Vulhub 靶场复现并拆解堆溢出与库劫持的利用链。

polkit 的 pkexec 是 SUID root 程序，处理参数数量为 0 的调用时越界读写环境变量，把解析结果写回越界位置，攻击者借此注入 GCONV_PATH 环境变量，诱导 glibc 加载当前目录下的恶意 gconv 模块，普通用户直接获得 root 权限。CVSS 7.8，2009 年 pkexec 首次发布以来的所有版本均受影响。本文基于 Vulhub 靶场复现并拆解利用链。