Codex 利用全局可写驱动接口破解三星电视获取 Root 权限

实验设置与初始访问

想象这样一个场景：攻击者已经在你的智能电视上获得了一个初步的立足点——比如通过浏览器漏洞执行了代码。接下来会发生什么？一个关键的安全问题浮出水面：在如此现实的“攻击后”环境下，人工智能能否在没有任何明确指引的情况下，自主发现路径，将低权限一路提升至最高的 root 权限？

OpenAI 的 Codex AI 模型给出了肯定的答案。它通过利用一个全局可写的内核驱动接口，成功在一台真实的三星智能电视上完成了权限提升。这个结果，无疑给所有硬件厂商敲响了警钟：消费电子设备的内置安全，真的经得起考验吗？

这项由 CALIF 在 2026 年 4 月 14 日发布的实验，起点正是电视浏览器应用内的代码执行环境，其权限仅为低权限用户（uid=5001）。研究团队为 Codex 提供了对实时设备的直接访问权限，并匹配了该型号电视（平台代号 KantS2）的完整固件源代码。整个挑战的核心就在于，AI 必须像一位老练的渗透测试员那样，自己寻找攻击面，阅读驱动源码，并验证每一个发现。

系统环境与规避技术

实验目标是一台运行三星 Tizen 平台、内核版本为 4.1.10 的智能电视。该系统包含未授权执行防护（UEP）功能，旨在阻止未签名的二进制文件从磁盘执行。不过，实验环境已经准备了一个 memfd 包装器作为辅助工具。这个工具巧妙地将程序加载到匿名的内存文件描述符中，直接从内存运行，从而完全绕过了基于磁盘的 UEP 检查。在整个过程中，Codex 都利用这个方法来部署和运行其自定义编译的静态 ARMv7 二进制文件，行动悄无声息。

漏洞发现与利用

那么，Codex 是如何找到突破口的呢？在系统枚举阶段，它将目光投向了名为 `ntk*` 的驱动系列，并从中识别出三个设备节点：`/dev/ntkhdma`、`/dev/ntksys` 和 `/dev/ntkxdma`。这些接口的文件权限赫然显示为 `crw-rw-rw-`，即全局可读可写。它们属于三星固件中集成的 Novatek Microelectronics 组件堆栈。对于已经获得浏览器 shell 的 Codex 来说，这三个已加载、可访问且源码可见的接口，构成了绝佳的攻击面。

权限提升技术细节

真正的核心漏洞藏在 `/dev/ntksys` 这个驱动里。这个驱动程序的功能是，允许用户空间的程序注册一段物理内存地址和大小，然后通过 `mmap` 系统调用将这段物理内存直接映射到自己的进程空间。安全研究人员将这类漏洞称为 **physmap 原语**——它为非特权代码提供了对物理内存的原始读写能力，完全不需要执行任何内核代码。

问题的根源是双重的。首先，一个出厂设置的 udev 规则（`KERNEL=="ntksys", MODE="0666"`）直接授予了该设备节点全局可写权限。其次，驱动程序的验证机制存在严重缺陷：它只检查表槽索引是否有效，却完全忽略了请求映射的物理内存范围是否与内核自身或其它特权内存区域重叠。在 `ker_sys.c` 源代码的第 1158 行附近可以看到，攻击者提供的地址被简单地存储到一个槽中，随后便由 `vk_remap_pfn_range` 函数原封不动地进行映射。这两者结合，便打开了一扇通往系统核心的大门。

完整攻击链分析

Codex 的漏洞利用过程堪称步步为营。它首先查询 `/dev/ntkhdma` 设备，该设备慷慨地向非特权调用者返回了一个 DMA 缓冲区的物理地址（`0x84840000`）。这为 Codex 提供了一个已知的、可用的物理页面用于测试。接着，它通过有缺陷的 `ntksys` 驱动将这个页面映射到自己的进程空间，并成功从浏览器 shell 中对其进行读写，验证了 physmap 原语的有效性。

在确认“钥匙”管用后，Codex 开始寻找“锁孔”。它扫描 `/proc/cmdline` 来定位 RAM 的布局，随后在物理内存中搜索并匹配浏览器进程的 `cred` 结构（该结构存储着进程的用户和组身份标识）。找到目标后，Codex 利用 physmap 原语，直接将 `cred` 结构中的 uid 和 gid 字段清零。最终，当它打开一个新的 shell 时，权限已经发生了根本性改变：uid=0(root) gid=0(root)。一次完整的权限提升就此达成。

安全建议

此次事件暴露出的问题值得所有相关厂商深思。对于三星及其他使用类似驱动堆栈的厂商，以下几点建议至关重要：

首先，应立即将 `ntk*` 系列设备节点的访问权限收紧，限制为仅限特权进程访问。其次，必须从系统配置中彻底移除那些赋予设备全局可写权限的 udev 规则。最后，也是根本的修复措施，是在 `ntksys` 驱动程序的 `mmap` 调用实现中，加入严格的物理内存范围验证，确保用户程序无法映射到内核或其它敏感区域。

这个案例也再次提醒我们，消费设备固件中集成的第三方内核组件，在出厂前必须依据最小权限原则进行严格的安全审计。依赖“隐蔽”而非“安全”的设计，终将带来风险。

完整的技术分析细节与概念验证代码，已在 CALIF 的 GitHub 仓库（MADBugs/samsung-tv）中公开，为行业研究和防御提供了宝贵的参考。