Codex 利用全局可写驱动接口破解三星电视获取 Root 权限

实验设置与初始访问

假设攻击者已通过浏览器漏洞在智能电视上获得初始代码执行权限。此时，一个关键的安全挑战在于：AI能否在无明确指令的“攻击后”环境中，自主探索并完成从低权限到root权限的完整提权路径？

OpenAI的Codex模型证实了这种可能性。它通过利用一个全局可写的内核驱动接口，成功在一台真实的三星智能电视上实现了权限提升。这一结果直接拷问消费电子设备内置安全机制的可靠性。

CALIF于2026年4月14日发布的这项实验，起点是电视浏览器应用内的低权限代码执行环境（uid=5001）。研究团队为Codex提供了对真实设备的直接访问权限，以及对应型号电视（平台代号KantS2）的完整固件源码。核心挑战是让AI自主扮演渗透测试角色，独立完成攻击面发现、驱动源码审计与漏洞验证。

系统环境与规避技术

实验目标为运行三星Tizen平台、内核版本4.1.10的智能电视。该系统具备未授权执行防护功能，旨在阻止磁盘上未签名二进制文件的执行。实验环境已预置一个memfd包装器作为辅助工具，该工具将程序加载至匿名内存文件描述符，实现直接从内存运行，从而完全规避基于磁盘的UEP检查。在整个过程中，Codex均利用此方法部署并运行其自定义编译的静态ARMv7二进制文件。

漏洞发现与利用

Codex在系统枚举阶段将目标锁定在名为`ntk*`的驱动系列，并识别出三个设备节点：`/dev/ntkhdma`、`/dev/ntksys`和`/dev/ntkxdma`。这些接口的文件权限显示为`crw-rw-rw-`，即全局可读可写。它们属于三星固件中集成的Novatek Microelectronics组件堆栈。对于已获得浏览器shell的Codex而言，这三个已加载、可访问且源码可见的接口构成了理想的初始攻击面。

权限提升技术细节

核心漏洞位于`/dev/ntksys`驱动中。该驱动允许用户空间程序注册一段物理内存地址及大小，随后通过`mmap`系统调用将这段物理内存直接映射到自身进程空间。安全研究领域将此称为**physmap原语**——它为非特权代码提供了对物理内存的原始读写能力，无需执行任何内核代码。

漏洞根源是双重的。首先，一条出厂默认的udev规则（`KERNEL=="ntksys", MODE="0666"`）直接授予了该设备节点全局可写权限。其次，驱动程序的验证机制存在严重缺陷：它仅检查表槽索引的有效性，却完全忽略了请求映射的物理内存范围是否与内核自身或其他特权内存区域重叠。在`ker_sys.c`源码第1158行附近可见，攻击者提供的地址被简单存储至一个槽中，随后由`vk_remap_pfn_range`函数直接进行映射。两者结合，开启了通往系统核心的通道。

完整攻击链分析

Codex的漏洞利用过程逻辑严密。它首先查询`/dev/ntkhdma`设备，该设备向非特权调用者返回了一个DMA缓冲区的物理地址（`0x84840000`）。这为Codex提供了一个已知、可用的物理页面用于测试。接着，它通过存在缺陷的`ntksys`驱动将此页面映射到自身进程空间，并从浏览器shell中成功对其进行读写，验证了physmap原语的有效性。

确认原语可用后，Codex开始定位提权目标。它通过扫描`/proc/cmdline`确定RAM布局，随后在物理内存中搜索并匹配浏览器进程的`cred`结构（该结构存储进程的用户与组身份标识）。找到目标后，Codex利用physmap原语直接将`cred`结构中的uid和gid字段清零。最终，当它打开一个新shell时，权限已变为：uid=0(root) gid=0(root)。一次完整的权限提升至此完成。

安全建议

此案例揭示了消费设备安全中亟待解决的深层问题。对于三星及采用类似驱动堆栈的厂商，我们提出以下关键建议：

首先，应立即收紧`ntk*`系列设备节点的访问权限，将其限制为仅限特权进程访问。其次，必须从系统配置中彻底移除那些赋予设备全局可写权限的默认udev规则。最后，根本性的修复措施是在`ntksys`驱动程序的`mmap`调用实现中，加入严格的物理内存范围验证逻辑，确保用户程序无法映射到内核或其他敏感内存区域。

这一案例再次警示，消费设备固件中集成的第三方内核组件，在出厂前必须依据最小权限原则进行彻底的安全审计。依赖“隐蔽性安全”而非实质性的访问控制，终将带来可被利用的风险。

完整的技术分析细节与概念验证代码已在CALIF的GitHub仓库（MADBugs/samsung-tv）中公开，为后续的安全研究与防御方案设计提供了重要参考。

来源：互联网