Ubuntu 常见被利用的攻击目标与典型漏洞
一、攻击面总览
二、典型攻击目标与实例
| 攻击目标/组件 | 代表漏洞或手法 | 影响与入口 | 缓解要点 |
|---|---|---|---|
| snapd REST API（本地提权） | CVE-2019-7304 Dirty Sock | 通过构造恶意请求覆盖 UID 检查，获取 root；本地或 API 暴露时可被远程利用 | 升级 snapd 至修复版本 |
| OverlayFS 用户命名空间（本地提权） | CVE-2021-3493 | 利用挂载与 setxattr 校验缺陷突破用户命名空间限制，获取 root | 升级内核至修复版本 |
| AccountsService（本地提权） | CVE-2021-3939 双重释放 | 触发内存损坏后以管理员身份执行程序，最终得 root shell | 升级 AccountsService 并重启 |
| CUPS + wpa_supplicant（组合提权） | CVE-2024-35235 + CVE-2024-5290 | 先改打印配置获取关键文件写权限，再借 DBus/库注入提权至 root | 同时修补两漏洞、收紧服务配置 |
| PAM + udisks2/libblockdev（本地提权链） | CVE-2025-6018 + CVE-2025-6019 | 在部分发行版上形成“普通用户 → root”短链；Ubuntu 等存在本地提权风险 | 升级系统、收紧 polkit 规则、必要时停用 udisks2 |
| 内核 nftables（本地提权） | CVE-2023-35001 | 通过用户命名空间 + nftables 复杂子系统触发 LPE | 升级内核，限制非特权用户触发复杂内核路径 |
| 用户命名空间限制绕过（纵深防御削弱） | aa-exec/Busybox/LD_PRELOAD 绕过 | 降低利用内核漏洞门槛，配合 CAP_SYS_ADMIN/CAP_NET_ADMIN 漏洞形成强链 | 启用 kernel.apparmor_restrict_unprivileged_unconfined=1、加固 AppArmor 配置 |
| 服务配置缺陷（本地提权） | Needrestart 本地提权 | 长期存在本地提权风险，无需交互即可获取 root | 及时更新 Needrestart 等系统组件 |
| SSH 与弱口令（入侵入口） | 暴力破解、写入 authorized_keys | 真实案例中通过爆破获取账号后植入挖矿与后门 | 禁用 root 远程登录、改用密钥、限制登录源、强口令与失败锁定 |
| Web/应用层漏洞（RCE/文件包含/上传） | FTP 匿名、Web 文件包含、口令破解等 | 作为初始入侵入口，进一步提权与横向移动 | 最小化暴露面、及时修补、WAF/输入校验、最小权限运行 |
三、防护与检测要点