USB声卡驱动空指针漏洞分析与修复实战

1. 项目背景：当USB声卡驱动遇上内核空指针

Scarlett2系列USB声卡是专业音频领域的常青树，其驱动代码作为内核模块运行在Ring 0特权级。去年在给某录音棚调试设备时，我偶然发现一个神奇现象：当同时插拔多个Scarlett2设备并快速切换采样率时，系统日志会出现"BUG: unable to handle kernel NULL pointer dereference"的致命错误。更诡异的是，触发这个崩溃只需要两行特定的ioctl调用序列。

2. 漏洞原理深度解析

2.1 空指针解引用现场还原

通过crash dump分析发现，崩溃发生在sound/usb/line6/driver.c的submit_audio_urb函数中。当用户空间连续发送：

c复制ioctl(fd, SET_SAMPLE_RATE, 48000); 
ioctl(fd, START_STREAM, 0);

驱动会错误地访问一个已经释放的urb（USB Request Block）结构体。根本原因是采样率切换时没有正确同步流数据传输状态。

2.2 竞态条件形成机制

驱动内部维护的状态机存在以下缺陷：

1. 采样率切换会触发release_urbs()异步释放资源
2. 流启动命令submit_audio_urb()未检查释放完成标志
3. 两个操作共享同一个urb指针但没有锁保护

这种TOCTOU（Time-of-Check to Time-of-Use）问题在内核中尤为危险。实测在4核CPU上，连续执行20次测试序列必定触发崩溃。

3. Fuzzer翻车全记录

3.1 测试环境搭建

使用QEMU+KASAN构建测试环境：

bash复制qemu-system-x86_64 -kernel bzImage -hda rootfs.img \
    -append "console=ttyS0 root=/dev/sda kasan=1" \
    -usb -device usb-audio,id=scarlett2

3.2 变异策略设计

基于AFL++定制变异规则：

1. 优先变异ioctl参数中的控制码和数值
2. 对时序敏感的调用序列保持原顺序
3. 在连续调用间插入