CVE-2025-38352 es una vulnerabilidad de condición de carrera del kernel de Linux que tiene su origen en la gestión del temporizador de la CPU POSIX y que fue parcheada a mediados de 2025, pero que se ha visto explotación activa en la naturalezaespecialmente en dispositivos Android. Este fallo surge de un clásico Condición de carrera TOCTOU entre handle_posix_cpu_timers() y posix_cpu_timer_del()(turn0search0), creando una ventana de tiempo en la que las tareas que salen se gestionan incorrectamente, lo que puede dar lugar a una escalada de privilegios o a la inestabilidad del sistema. (turn0search0)

Para los ingenieros de seguridad que construyen, despliegan y defienden infraestructuras basadas en Linux -incluyendo entornos de nube, contenedores y móviles- esta vulnerabilidad pone de relieve los peligros persistentes de los sutiles errores de concurrencia en los componentes centrales del sistema.

Comprender el mecanismo de vulnerabilidad

En el corazón de CVE-2025-38352 es un condición de carrera de tiempo de comprobación/tiempo de uso (TOCTOU)Una clase clásica de error de concurrencia en la que el código asume una condición que puede cambiar antes de que se complete la acción correspondiente.

En este caso, cuando una tarea sale, el núcleo ejecuta la lógica del temporizador de la CPU para limpiar los recursos. Sin embargo, como handle_posix_cpu_timers() puede ser llamada desde un contexto de interrupción (IRQ) mientras la tarea está siendo cosechada, y posix_cpu_timer_del() se ejecuta de forma concurrente, las comprobaciones de estado interno inconsistentes permiten referencias de memoria inseguras y un mal comportamiento lógico. Para solucionarlo, se introdujo un estado_salida comprobar en run_posix_cpu_timers() para que no se procesen los temporizadores de una tarea que se garantiza que está saliendo. (turn0search0)

Las condiciones de carrera en subsistemas de bajo nivel del kernel son complicadas debido a su dependencia de intercalaciones precisas de programación y rutas de concurrencia que los escaneos típicos y el análisis estático a menudo pasan por alto.

Por qué CVE-2025-38352 es crítico

A menudo se subestiman las condiciones de carrera, pero son un clase de errores de alto impacto en los sistemas operativosespecialmente cuando se producen en componentes como la temporización de la CPU o la gestión del ciclo de vida de las tareas. Condiciones de carrera del kernel anteriores (por ejemplo, CVE-2014-3153) han llevado a la escalada de privilegios locales o incluso pánicos del kernel cuando se abusa.

Se ha confirmado que la vulnerabilidad explotado activamente en la naturaleza. Según los informes de seguridad, apareció en el Boletín de seguridad de Android de septiembre de 2025(turn0search1), junto con otro fallo de escalada, lo que demuestra que los atacantes están encadenando esta condición de carrera para escapar de las cajas de arena y elevar privilegios sin necesidad de acceso remoto. (turn0search1)

Además, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE.UU. (CISA) añadió CVE-2025-38352 a su Catálogo de vulnerabilidades explotadas conocidas (KEV)reforzando la prioridad de la remediación en entornos empresariales y gubernamentales. (turn0search0)

Mecánica de explotación y escenarios de amenazas

Mientras que la ejecución remota clásica de código no es directamente posible aquí, atacantes locales-como usuarios comprometidos, procesos sin privilegios en entornos multi-tenant o aplicaciones maliciosas en Android- pueden abusar de esta carrera para:

• Bloquear el kernel (provocando una denegación de servicio)
• Escapar de las cajas de arena de procesos (Android)
• Desencadenar un comportamiento no deseado del kernel
• Intento de escalada local de privilegios

La cadena de ataque generalmente implica correr las rutinas de salida de la tarea y de borrado del temporizador, explotando la ventana en la que el subsistema del temporizador maneja incorrectamente las transiciones de estado.

Un ejemplo de patrón de explotación de alto nivel es:

c

// Patrón de ventana de carrera simplificado if (task->active_timer) { // tiempo-de-comprobación delete_timer(task->timer); // tiempo-de-uso // Inseguro cuando la limpieza concurrente del temporizador cosecha la tarea}

Detectar y desencadenar esto de forma fiable requiere condiciones precisas, a menudo obtenidas mediante el estrés de hilos multinúcleo, pero este patrón muestra cómo el fallo surge de desajustes de concurrencia.

Sistemas afectados y orientación sobre parches

Entre los sistemas vulnerables se incluyen los núcleos Linux que no contenían la corrección confirmada a mediados de 2025, en particular los núcleos creados sin la extensión estado_salida en las rutinas POSIX de limpieza del temporizador de la CPU. Esto afecta a una amplia gama de entornos:

• Dispositivos Android antes de la actualización de seguridad de septiembre de 2025
• Distribuciones de Linux que no han aplicado el parche (Debian, Ubuntu, Red Hat, SUSE, Amazon Linux, etc.)
• Contenedores e instancias en la nube que utilizan versiones vulnerables del kernel

El parche corrige la carrera añadiendo un estado_salida para garantizar que los temporizadores sólo se procesan cuando las tareas están completamente activas, eliminando la ventana de carrera insegura. Los ingenieros de seguridad deben asegurarse de que:

• Los sistemas anfitriones reciben las actualizaciones del kernel correspondientes.
• Los dispositivos Android están actualizados al parche de seguridad 2025-09 o posterior
• Las plataformas de contenedores y orquestación aplican parches al núcleo del host

Comparación con otros problemas de concurrencia del núcleo

Para contextualizar el impacto de las condiciones de carrera, considere otros fallos del kernel como CVE-2024-1086que implicaba una escalada de privilegios a través de otros mecanismos del kernel. Las condiciones de carrera suelen coincidir con el uso después de la liberación y pueden ser más sutiles que una simple corrupción de memoria. Son esenciales unas primitivas de sincronización adecuadas y una gestión cuidadosa del estado.

A continuación se muestra una tabla comparativa de las clases de errores de concurrencia relevantes para la seguridad del núcleo:

Las condiciones de carrera como CVE-2025-38352 son peligrosas porque pueden provocar patrones sin uso posterior y otros efectos secundarios explotables si un atacante los activa bajo condiciones específicas.

Enfoques de detección y prueba de concepto

Debido a la naturaleza concurrente de este fallo, su detección no es trivial:

• Las pruebas de estrés con alta concurrencia en sistemas multinúcleo mejoran la cobertura
• Herramientas de análisis dinámico para simular rutas de ejecución intercaladas
• Marcos de fuzzing para ventanas de carrera

He aquí un concepto básico que ilustra el estrés de concurrencia:

bash

`#!/bin/bash

Bucle de estrés de concurrencia simple

while true; do for i in {1..4}; do taskset -c $i ./race_test_binary &done wait done`

Esto no explota la vulnerabilidad directamente, pero aumenta la tasa de manejo de temporizadores y operaciones de salida que se ejecutan en paralelo, lo que aumenta la probabilidad de que se activen ventanas de temporización durante las pruebas.

Estrategias de atenuación y defensa

Solucionar la vulnerabilidad implica aplicar el parche del kernel y actualizar los sistemas afectados. Los ingenieros de seguridad también deben tener en cuenta:

• Endurecer las configuraciones del kernel (desactivar interfaces de depuración)
• Limitar la ejecución de código sin privilegios en anfitriones
• Supervisar los registros del núcleo en busca de anomalías como pánicos o tiempos de espera del perro guardián
• Aplicar privilegios mínimos para que los usuarios locales reduzcan el radio de explosión de los intentos de LPE

Un patrón de defensa preventivo para la detección de carreras locales podría utilizar herramientas de integridad en tiempo de ejecución del kernel como eBPF o LKRG para vigilar comportamientos sospechosos de limpieza del temporizador.

Penligent: Detección y priorización de riesgos de CVE basadas en IA

En grandes bases de código e infraestructuras, encontrar manualmente sutiles problemas de concurrencia como CVE-2025-38352 es difícil y propenso a errores. Las plataformas basadas en IA como Penligente puede ayudar:

• Análisis de rutas de código complejas entre módulos identificar posibles condiciones de carrera
• Correlación de patrones con datos históricos de CVE y firmas de explotación
• Priorizar los flujos de alto riesgo para la revisión de seguridad
• Integración con procesos CI/CD para detectar patrones inseguros antes de la implantación.

Dado que las condiciones de carrera a menudo dependen de intrincadas interacciones entre funciones y contextos, el análisis asistido por IA es particularmente valioso para detectar patrones sospechosos que el análisis estático tradicional pasa por alto, especialmente en lenguajes y entornos como el núcleo C.

Vulnerabilidades relacionadas que merece la pena vigilar

Mientras que CVE-2025-38352 es principalmente una condición de carrera, otros fallos del kernel como CVE-2025-38499 (un fallo de verificación de privilegios) demuestran la importancia de mantener los sistemas parcheados y de vigilar las vías de escalada local. Estos fallos de alto impacto suelen agravarse cuando se encadenan con otras vulnerabilidades en un escenario de ataque.

La vigilancia permanente y la gestión de parches siguen siendo elementos fundamentales de una seguridad defensiva eficaz.

Conclusión

Puede que CVE-2025-38352 no sea un exploit remoto fácil, pero su explotación en la naturaleza y su amplio impacto en los kernels de Linux y Android lo convierten en un caso de estudio crítico en la gestión moderna de vulnerabilidades. Para los ingenieros de seguridad, comprender la mecánica de las condiciones de carrera y disponer de herramientas automatizadas para detectar y priorizar tales fallos -por ejemplo, aprovechando plataformas como Penligent- mejora enormemente la capacidad de defender infraestructuras complejas.

La aplicación inmediata de parches, la supervisión en tiempo de ejecución y el refuerzo de la arquitectura son esenciales para mitigar el riesgo de escalada de privilegios y garantizar la integridad del sistema en entornos heterogéneos.