从初代漏洞到多分支衍生：Linux Dirty COW 家族漏洞全解析与望获 OS 内核防护实践

Copy-On-Write 写时复制是 Linux 内核内存管理的核心机制用于进程内存映射、页面缓存复用在节省内存开销、提升 fork 创建效率方面起到关键作用。但长期以来内核在共享页面权限校验、缓冲区引用标记、并发时序控制上存在多处逻辑疏漏衍生出以 Dirty Cow 为起点的一整串 Dirty 家族本地提权漏洞链持续暴露通用 Linux 内存子系统的设计短板。本文梳理该系列漏洞演进脉络、底层原理、风险危害与修复思路并介绍望获 OS 针对 COW 机制的内核层加固方案。一、漏洞谱系梳理与整体危害评估Dirty 家族全部属于本地低权限账号横向提权至 root类漏洞攻击门槛低、利用链路短多数漏洞仅需普通用户权限即可完成利用部分变体修改仅驻留内存页缓存不会写入磁盘常规文件完整性校验工具难以感知篡改极易绕过安全审计策略。Dirty CowCVE-2016-5195家族初代漏洞内核存续近 9 年依托多线程竞争条件篡改只读映射文件页面可直接修改 passwd、SUID 程序获取管理员权限。Dirty Pipe聚焦管道缓冲区与页面缓存交互缺陷借助管道读写越界改写只读文件内存映射。Copy FailCVE-2026-31431IPsec AEAD 加密模块未执行 COW 页面拷贝直接在共享页缓存原地写入数据实现无磁盘落地篡改系统程序内存镜像。DirtyFrag、Fragnesia面向 skb 套接字分片缓冲区前者未标记共享页面导致加密逻辑覆写缓存后者属于补丁衍生漏洞缓冲区合并过程丢失共享标记致使此前修复机制失效属于补丁引入的次生安全问题。DirtyClone、DirtyDecrypt、pedit COW分别从报文克隆、RxRPC 解密、进程内存编辑等不同入口绕过 COW 权限检查统一指向共享只读页面非法写入这一核心根因。整体风险集中在服务器、嵌入式设备、容器集群、工控终端等场景一旦恶意程序入驻普通权限容器或终端账号即可快速接管整机系统权限泄露业务配置、篡改关键服务程序、植入持久化后门。二、系列漏洞统一底层技术原理该家族所有漏洞本质可以归纳为同一类设计缺陷内核未严格区分页面缓存页面的共享只读属性在发起修改操作前遗漏写时复制流程直接对原始公共页面执行写入操作。标准 COW 机制逻辑为多个进程映射同一磁盘文件页面时内核仅保留一份只读共享页任意进程发起写入内核先复制独立私有页面修改行为仅作用于副本原始共享页维持只读状态。而各类漏洞分别从不同代码分支打破约束并发竞态类Dirty Cow 依靠双线程时序竞争在私有页面分配完成前释放内存页强制写操作落回原始只读页网络协议栈类IPsec、RxRPC、套接字分片合并逻辑中对由 splice 挂载至缓冲区的页缓存页未识别共享属性直接原地加密改写跳过 COW 拷贝步骤管道与进程调用类Dirty Pipe 通过管道缓冲区越界穿透文件只读映射权限边界。多数变体攻击不会改动磁盘源文件仅修改内存内页缓存数据重启系统后篡改失效但足以在运行周期内完成权限劫持与恶意操作。三、官方通用修复方案上游 Linux 内核针对该系列漏洞采用分层补丁策略基础内存层加固__get_user_pages页面获取逻辑移除 FOLL_WRITE 标志位重试时的权限弱化逻辑杜绝竞态条件下跳过 COW 流程网络子系统层为 skb 分片、IPsec 加密、RxRPC 解密模块增加共享页标记校验检测到页面属于文件页缓存时强制执行 COW 拷贝禁止原地修改缓冲区合并逻辑在 skb 合并函数中同步继承页面共享标识避免补丁修复后因数据结构合并丢失安全标记防范 Fragnesia 这类衍生漏洞临时应急处置无内核升级条件下可按需黑名单卸载 esp4、esp6、rxrpc 等高危协议模块关闭 splice 非常规文件转发能力缩小攻击入口。四、望获 OS 针对 COW 机制的系统性内核加固特性望获 OS 面向航天、车载、工控等高可信场景在内存管理子系统对写时复制机制做原生约束从源头收敛该类漏洞攻击面核心优化包含四项内容共享页面强权限静态校验修改页缓存管理逻辑对所有源自磁盘文件的共享映射页添加只读锁标记任何写入请求必须先完成私有页拷贝内核添加断言拦截非法原地写操作从架构层面杜绝跳过 COW 流程的路径。网络缓冲区页面溯源管控内核层追踪 skb 缓冲区页面来源区分堆内存分配页与文件页缓存页若检测缓冲区挂载文件映射页面自动触发 COW 分离不允许加密、分片处理直接操作原始共享内存。时序竞态路径锁机制防护针对 Dirty Cow 类多线程竞争场景对页面回收、内存释放、页表修改操作增设互斥锁锁定页面生命周期内关键操作时序消除可被利用的竞争窗口。最小化组件与动态审计默认精简 IPsec、RxRPC 等非必需网络协议模块按需加载并记录模块加载审计日志同时开启页缓存篡改实时检测一旦监测到只读页被非常规改写行为命中立即阻断进程并上报安全告警形成检测 - 阻断闭环。五、总结Dirty COW 系列漏洞历经十余年持续衍生迭代反映出通用 Linux 内核在模块化迭代中容易出现补丁遗漏、子系统间逻辑不同步的问题被动打补丁只能逐个封堵漏洞点难以彻底规避同类同源缺陷。望获 OS 并未局限于跟进上游单个 CVE 补丁而是从内存管理基础架构入手规范 COW 执行范式通过权限标记、页面溯源、时序锁控、组件裁剪构建纵深防护降低操作系统在长期运行过程中因内核迭代引入同类内存安全隐患的概率更适配关键基础设施对系统稳定性与安全性的长期要求。