Uma Corrida Dentro de Uma Corrida: Explorando CVE-2025-38617 em Sockets de Pacotes Linux

A CVE-2025-38617 não é só mais uma falha de condição de corrida: é um ataque que transforma um timing imprevisível em janela determinística, e faz isso sem depender de leaks brutos ou de fallbacks em mitigação desativada. O exploit de Quang Le, da Calif, explora duas corridas sequenciais no AF_PACKET: a primeira entre packet_set_ring() e packet_notifier(), a segunda entre o registro do protocolo e a liberação final do buffer. Em vez de tentar acertar nanossegundos com loops cegos, ele prende o pg_vec_lock via tpacket_snd() com sleep, depois estica a segunda janela com um timerfd configurado para disparar exatamente após 720.000 entradas, um truque que converte latência de fila de espera em controle de execução.

O estágio final, syscall patching, é raro em ambientes modernos: ele sobrescreve entradas na tabela de chamadas do kernel (sys_call_table) após bypassar KASLR via anon_pipe_buf_ops, contornando CONFIG_RANDOM_KMALLOC_CACHES com sobreposição precisa de pgv e simple_xattr. Isso significa que, mesmo em kernels com SLAB_VIRTUAL e alocações aleatórias, o atacante consegue escrever onde quer, e executar código privilegiado como root dentro do host, não só no container.

Essa vulnerabilidade afeta qualquer sistema com user namespaces habilitados (padrão em Docker, Podman e Kubernetes com securityContext.privileged: false) e CAP_NET_RAW concedido, o que inclui muitos workloads de rede em produção. Não exige acesso físico nem credenciais: basta um shell dentro de um contêiner mal configurado. A correção no kernel 6.16 fecha a janela, mas distribuições antigas ainda em uso (como Oracle Linux 7/8, SUSE 15 SP4) dependem de backports críticos lançados entre outubro e janeiro de 2026. Empresas que adiam atualizações de kernel por compatibilidade de driver ou certificação estão expostas, e não há workaround eficaz além de aplicar o patch ou desabilitar user namespaces, o que quebra funcionalidades essenciais em ambientes cloud-native.