Uma prova de conceito pública para CVE‑2025‑38352 foi divulgada, acelerando o risco para sistemas Linux e kernels embarcados que não foram atualizados.
O que é a vulnerabilidade
CVE‑2025‑38352 é uma condição de corrida (race condition) no código de tratamento de timers POSIX do kernel Linux (função handle_posix_cpu_timers()). A falha pode gerar um use‑after‑free quando estruturas de timer são liberadas enquanto ainda estão sendo acessadas, potencialmente permitindo corrupção de memória do kernel e escalonamento local de privilégios.
Alcance e versões afetadas
Relatórios indicam que a falha afeta builds relacionados ao Linux LTS 6.12.33 e kernels vulneráveis em especial em arquiteturas 32‑bit — incluindo versões de kernels Android 32‑bit que compilaram sem CONFIG_POSIX_CPU_TIMERS_TASK_WORK. Pesquisadores destacam relevância particular para dispositivos Android de 32‑bits e sistemas embarcados que mantenham as configurações vulneráveis.
PoC e evidências de exploração
A PoC publicada por um pesquisador (exposta no GitHub) demonstra a sequência necessária: criação de um timer POSIX que dispara após intervalo específico; indução de um thread a estado zumbi durante operações críticas do kernel; colheita do processo zumbi enquanto o kernel está processando timers; chamada a timer_delete() que causa liberação prematura; e, finalmente, acesso posterior que gera avisos do KASAN indicando escrita UAF em posix_timer_queue_signal().
Exploração ativa e impacto operacional
Advisories citadas por analistas mencionam exploração limitada e direcionada do bug. A exploração exige acesso local e sincronização de tempo precisa (condições avançadas), o que reduz sua praticidade em ataques remotos massivos, mas não elimina o risco em cenários onde um atacante já possui conta local ou consegue executar código.
Mitigação e ações recomendadas
- Atualizar imediatamente kernels para as branches estáveis que incluem o patch disponibilizado upstream.
- Priorizar dispositivos Android 32‑bit e sistemas embarcados com kernels desatualizados ou compilações customizadas sem POSIX CPU TIMERS TASK WORK.
- Monitorar logs de kernel para mensagens relacionadas a KASAN ou alertas em send_sigqueue()/posix_timer_queue_signal que possam indicar tentativas de exploração.
- Em ambientes de alto risco, restringir execução local não autorizada ou aplicar mecanismos de mitigação de isolamento até que o patch seja aplicado.
Limitações das informações públicas
Documentação pública descreve a PoC e indica exploração limitada; falta, porém, um CVE com pontuação pública detalhada por fornecedores de segurança centralizados (quando aplicável) e não há, nesta divulgação, indicadores amplos de exfiltração ou campanhas massivas que afetem infraestrutura crítica em larga escala.
A disponibilidade pública da PoC reduz a janela de tempo para administradores; equipes de operação devem tratar a vulnerabilidade como de alta prioridade nas versões afetadas.