🛠️ PinTheft — CVE-2026-43494

رفع الامتيازات المحلية في نواة لينكس عبر RDS + io_uring استبدال ذاكرة التخزين المؤقت للصفحات

📌 نظرة عامة

PinTheft هي أداة استغلال متطورة لرفع الصلاحيات محليًا لـ CVE-2026-43494، وهو خطأ في تعداد المراجع في نظام RDS (مآخذ البيانات الموثوقة) في نواة لينكس.

من خلال الجمع بين خطأ double-free في مسار النسخ الصفري لـ RDS مع المخازن المؤقتة الثابتة لـ io_uring، يحقق الاستغلال استبدال موثوق لذاكرة التخزين المؤقت للصفحات للثنائيات ذات SUID-root، مما يؤدي إلى رفع الامتيازات المحلية إلى root.

خطأ محاسبي صغير في مسار شبكي غامض يصبح أداة موثوقة لرفع الامتيازات المحلية عند مزجه بميزات io_uring الحديثة.

🧪 تفاصيل الثغرة

• المكون: net/rds
• المحفز: مسار الفشل في rds_message_zcopy_from_user() → معالجة غير صحيحة لـ op_nents
• السبب الجذري: تكرار put_page() بعد فشل iov_iter_get_pages2()
• التأثير: مستخدم محلي غير مميز → root

درجة CVSS: ~7.8 (عالية)

🎯 تقنية الاستغلال ("PinTheft")

1. تثبيت الصفحة المستهدفة باستخدام io_uring REGISTER_BUFFERS (+1024 مرجع FOLL_PIN)
2. استنساخ المخازن المؤقتة إلى حلقة ثانية + الاحتفاظ بها باستخدام daemon (يمنع إلغاء التثبيت عند الإغلاق)
3. سرقة جميع التثبيتات الـ1024 باستخدام إرسال sendmsg فاشل متكرر عبر RDS بنسخ صفري
4. munmap() → تحرير نظيف إلى PCP (LIFO)
5. تحفيز استرداد ذاكرة التخزين المؤقت للصفحات لثنائي SUID قابل للقراءة
6. استبدال الصفحة المستردة باستخدام IORING_OP_READ_FIXED عبر مؤشر struct page* معلق
7. تنفيذ الثنائي SUID المعدل → شل root

التجاوزات:

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON
• bad_page() checks
• إلغاء تثبيت io_uring عند تدمير الحلقة

📋 المتطلبات

• نواة مع تمكين CONFIG_RDS و CONFIG_RDS_TCP
• تمكين io_uring (kernel.io_uring_disabled=0)
• نواة ≥ 6.13 (للحصول على ميزات io_uring المثلى)
• على الأقل ثنائي SUID-root قابل للقراءة واحد على النظام
• بنية x86_64

غير معرض للثغرة افتراضيًا في معظم التوزيعات (RDS نادرًا ما يتم تمكينها).

🚀 الاستخدام

# 1. Clone & Compile
git clone https://github.com/0xBlackash/CVE-2026-43494.git
cd CVE-2026-43494
gcc -O2 -static CVE-2026-43494.c -o pintheft

# 2. Run
sudo ./pintheft

📁 الملفات

• CVE-2026-43494.c — كود الاستغلال الكامل (PinTheft)
• README.md — هذا المستند
• backup/ — نسخ احتياطية تلقائية للثنائيات SUID المستبدلة

🛡️ التخفيف

# Disable RDS
echo "install rds /bin/false" | sudo tee /etc/modprobe.d/disable-rds.conf
echo "install rds_tcp /bin/false" | sudo tee -a /etc/modprobe.d/disable-rds.conf
sudo modprobe -r rds_tcp rds

# Disable io_uring (if unused)
echo "kernel.io_uring_disabled=2" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

قم بتحديث نواة النظام فور توفر التصحيحات.

🔍 التحقق

# Check if vulnerable
modprobe -n rds_tcp && echo "RDS: Vulnerable"
cat /proc/sys/kernel/io_uring_disabled
uname -r

⚠️ إخلاء مسؤولية

• هذا الاستغلال مخصص للأغراض التعليمية والاختبار المصرح به فقط.
• قد يؤدي سوء الاستخدام إلى زعزعة استقرار النظام أو فقدان البيانات.
• اختبر دائمًا في أجهزة افتراضية معزولة.

📜 الإسناد

• الاكتشاف والإثبات المفاهيمي: Ashraf Zaryouh "0xBlackash"
• تعيين CVE: MITRE
• الإفصاح العام: 23 مايو 2026

مصنوع بـ ❤️ لمجتمع أبحاث الأمن السيبراني

ابقَ فضوليًا. ابقَ آمنًا.