Ha sido publicado en GitHub un exploit de prueba de concepto (PoC) para CVE-2025-38352, una vulnerabilidad crítica de condición de carrera en el kernel de Linux.

La vulnerabilidad, descubierta a principios de este año, afecta a la implementación de temporizadores de CPU POSIX y ya se ha explotado en ataques limitados y dirigidos contra dispositivos Android de 32 bits.

CVE-2025-38352 es una vulnerabilidad de use-after-free (UAF) en la función handle_posix_cpu_timers() del kernel de Linux.

El fallo se produce cuando la opción de configuración CONFIG_POSIX_CPU_TIMERS_TASK_WORK está desactivada, una configuración que se encuentra en la mayoría de los kernels de Android de 32 bits, pero no en los sistemas de 64 bits.

La vulnerabilidad surge de una condición de carrera que ocurre cuando los temporizadores de CPU POSIX se activan en tareas zombie.

Cronometrando cuidadosamente la creación de un proceso zombie, su finalización a través de un proceso padre y el desencadenamiento de la eliminación del temporizador, los atacantes pueden hacer que el kernel acceda a la memoria liberada, lo que lleva a una escalada de privilegios o a la ejecución de código de kernel.

Exploit Chronomaly

El investigador de seguridad Faith (que trabaja en la empresa de seguridad blockchain Zellic) ha publicado "Chronomaly", un exploit totalmente funcional que se dirige a las versiones v5.10.x del kernel de Linux.

El exploit se introdujo a través de una completa serie de blogs técnicos de tres partes que cubre el descubrimiento de la vulnerabilidad, su análisis y las técnicas de explotación.

El exploit es notable porque no requiere desplazamientos de símbolos del kernel ni direcciones de memoria específicas, lo que lo hace portable entre diferentes configuraciones de kernel.

Implementa sofisticadas técnicas de extensión de la ventana de carrera a través de la manipulación del temporizador de la CPU y una estrategia de asignación entre cachés para las estructuras sigqueue.

El exploit requiere un sistema multi-core con al menos dos CPU para desencadenar de forma fiable la condición de carrera.

Las pruebas confirman la explotación correcta en los kernels de Linux virtualizados en QEMU que ejecutan la v5.10.157, con parámetros ajustables para diferentes entornos.

La vulnerabilidad se ha añadido al Catálogo de Vulnerabilidades Conocidas Explotadas de CISA, lo que indica una explotación activa.

Aunque la amenaza afecta principalmente a los dispositivos Android de 32 bits, los componentes del kernel involucrados también están presentes en las variantes de 32 bits de otros sistemas basados en Linux.

Según el asesoramiento de GitHub, debes actualizar a un kernel parcheado o habilitar la opción CONFIG_POSIX_CPU_TIMERS_TASK_WORK.

El parche upstream del kernel de Linux (commit f90fff1e152dedf52b932240ebbd670d83330eca) soluciona la vulnerabilidad impidiendo el procesamiento de temporizadores en tareas zombie.

Los fabricantes de dispositivos y los administradores de sistemas deben priorizar las actualizaciones del kernel para mitigar esta vulnerabilidad crítica.