Weekly Report 2026-03-23
工作任务
1、看最近riscv子系统活跃度有没有下降
2、分类分析一下近两年的cve，把通用一般的漏洞和rv专有的漏洞分开
3、针对rv相关的文件跑一个工具看看，尝试挖一些riscv cve
工作进展
看最近riscv子系统活跃度有没有下降
本周进展
从整体趋势看，RISC-V 活跃度并未下降；从最近短周期看，活跃度出现了阶段性回落。这一变化与近期 Linux 7.0 merge window 关闭后的节奏切换一致。
具体数据为
5周：Commits/Week = 2.80，Lines/Week = 8.80
10周：Commits/Week = 14.90，Lines/Week = 390.30
20周：Commits/Week = 13.70，Lines/Week = 310.60
50周：Commits/Week = 17.94，Lines/Week = 444.46
104周：Commits/Week = 17.88，Lines/Week = 363.56
分类分析最近两年的cve
本周进展
分类逻辑概述
本报告的漏洞分类框架主要由三大板块构成：RISC-V 特有漏洞、通用漏洞，以及一个汇总性质的漏洞原因 (Cause) 分类。
其中，针对“RISC-V 特有漏洞”和“通用漏洞”，报告又分别从两个不同的维度进行了交叉拆解：
按组件 (Component) 分类：侧重于漏洞发生的具置或受影响的模块。
按漏洞类型分类：侧重于漏洞本身的表现形式和技术特征。
1. riscv特有漏洞（按漏洞类型）
API Misuse
涉及 CVE：CVE-2025-38407
Incomplete Implementation / Missing Functionality
说明：笔误或者cv的时候失误，导致的不完整实现
涉及 CVE：CVE-2025-37966, CVE-2025-38261, CVE-2025-38435
Improper Input Validation
涉及 CVE：CVE-2025-38434
2. riscv特有漏洞（按riscv component）
RISC-V Vector Extension
涉及 CVE：CVE-2025-38435
RISC-V MMU
涉及 CVE：CVE-2025-38434
RISC-V SBI
涉及 CVE：CVE-2025-38407
RISC-V CSR
涉及 CVE：CVE-2025-38261
RISC-V Context Switch
说明：可能会有和别人重复的cve被分入，这是一个特殊的类别
涉及 CVE：CVE-2025-38261
RISC-V Pointer Masking Extensions
涉及 CVE：CVE-2025-37966
3. 通用漏洞（按component）
MMU
涉及 CVE：CVE-2025-38681
Debug和日志系统
涉及 CVE：CVE-2025-40358
Kernel Utilities
涉及 CVE：CVE-2025-37975, CVE-2025-38433
4. 通用漏洞（按漏洞类型）
Race condition
涉及 CVE：CVE-2025-38681
Subsystem Integration Mismatch
说明：比如一个子系统对于另一个子系统有某种假设，但是这种假设在某些情况不成立，或者两个子系统分别没有考虑到对方的一些情况，所以融合在一起工作时出现的问题
涉及 CVE：CVE-2025-40358
Edge/Corner case missing
涉及 CVE：CVE-2025-37975, CVE-2025-38433
5. 原因 Cause
笔误/复制粘贴错误
涉及 CVE：CVE-2025-38435
逻辑错误
涉及 CVE：CVE-2025-37966, CVE-2025-37975, CVE-2025-38433
隐式API规定违反
涉及 CVE：CVE-2025-38407, CVE-2025-38434
隐式时间规定违反
涉及 CVE：CVE-2025-38681
特性/机制冲突
涉及 CVE：CVE-2025-38261, CVE-2025-40358
尝试挖掘riscv的cve
暂时只是简单的人+AI review代码，给上游提了几个patch，分别是
https://lore.kernel.org/all/20260321112827.31691-1-vulab@iscas.ac.cn/
https://lore.kernel.org/all/20260321113419.34437-1-vulab@iscas.ac.cn/
https://lore.kernel.org/all/20260322160022.21908-1-vulab@iscas.ac.cn/
下周计划
继续做现有riscv cve的分类工作
继续尝试挖洞
Comments
Loading…