В Samsung KNOX нашли уязвимость, затрагивавшую Galaxy восемь лет

26.06.2026

LucidBit Labs раскрыла детали CVE-2026-20971 - use-after-free уязвимости в Android-ядре Samsung. Проблема затрагивала устройства Galaxy, начиная с Galaxy S9 и до Galaxy S25, а также модели A-серии. Исследователи проверили уязвимость на S21, S22, S24 и A54; подвержены были устройства как на Exynos, так и на Qualcomm. Samsung исправила баг в январском обновлении безопасности 2026 года.

Уязвимость находилась в PROCA - компоненте Samsung KNOX, который должен предотвращать запуск неавторизованных процессов. PROCA использует подсистему FIVE для отслеживания целостности файлов и процессов, но именно эта защитная логика стала частью поверхности атаки.

Ошибка была связана с тем, как обработчики procfs обращались к объекту task_integrity. Во время execve() старый объект целостности процесса мог быть освобожден, а другой поток продолжал работать со старым указателем. При точном попадании в race condition это приводило к использованию уже освобожденной памяти.

По данным LucidBit Labs, уязвимость могла эксплуатироваться из любого недоверенного приложения и давала атакующему несколько примитивов повреждения памяти. В перспективе это могло привести к повышению привилегий и полному захвату устройства, хотя исследователи не публиковали готовый full LPE-эксплойт.

NVD описывает CVE-2026-20971 как use-after-free в PROCA driver до SMR Jan-2026 Release 1, позволяющий локальному атакующему потенциально выполнить произвольный код.

Отдельно исследователи отметили, что современные защитные механизмы Android, включая kernel CFI, заметно ограничили эксплуатацию одного из путей атаки. Однако сам факт уязвимости показывает риск сложных встроенных защитных подсистем: код, который должен повышать безопасность устройства, при ошибках управления памятью сам превращается в точку входа для атак.