pdfminer.six 反序列化漏洞剖析：利用不安全的pickle加载实现本地提权

Tue, 09 Dec 2025 14:10:07 +0800

漏洞详情

包管理器: pip 包名称: pdfminer.six 受影响版本: <= 20251107 已修补版本: 暂无

🚀 概述

本报告演示了pdfminer.six中一个真实的权限提升漏洞，该漏洞源于Python的pickle模块在加载CMap文件时的不安全使用。它展示了在多用户或服务器环境中，低权限用户如何通过利用不安全的反序列化获得root访问权限（或提升到任何服务账户）。

Pixel 6 Pro单漏洞提权：Mali GPU驱动漏洞分析与利用

Sun, 09 Nov 2025 16:20:46 +0800

根本原因分析

CVE-2023-48409

该漏洞在2023年12月的Pixel安全公告中被覆盖。通过回滚设备版本到早期补丁UP1A.231005.007进行分析：

int gpu_pixel_handle_buffer_liveness_update_ioctl(struct kbase_context* kctx,
                                                  struct kbase_ioctl_buffer_liveness_update* update)
{
	int err = 0;
	struct gpu_slc_liveness_update_info info;
	u64* buff;

	/* 计算需要复制的用户空间数组大小 */
	u64 const buffer_info_size = sizeof(u64) * update->buffer_count;			// [1]
	u64 const live_ranges_size =
	    sizeof(struct kbase_pixel_gpu_slc_liveness_mark) * update->live_ranges_count;
	/* 无需操作 */
	if (!buffer_info_size || !live_ranges_size)
		goto done;

	/* 防止空指针 */
	if (!update->live_ranges_address || !update->buffer_va_address || !update->buffer_sizes_address)
		goto done;
	/* 分配我们需要从用户空间复制的内存 */
	buff = kmalloc(buffer_info_size * 2 + live_ranges_size, GFP_KERNEL);			// [2]

	/* 通过指向分配来设置info结构体。全部8字节对齐 */
	info = (struct gpu_slc_liveness_update_info){						// [3]
	    .buffer_va = buff,
	    .buffer_sizes = buff + update->buffer_count,
	    .live_ranges = (struct kbase_pixel_gpu_slc_liveness_mark*)(buff + update->buffer_count * 2),
	    .live_ranges_count = update->live_ranges_count,
	};
	/* 从用户空间复制数据 */
	err =
	    copy_from_user(info.live_ranges, u64_to_user_ptr(update->live_ranges_address), live_ranges_size);
	if (err) {
		dev_err(kctx->kbdev->dev, "pixel: failed to copy live ranges");
		err = -EFAULT;
		goto done;									// [4]
	}
    
...

done:
	kfree(buff);
	return err;
}