bsauce/kernel-exploit-factoryتقرير تحليل استغلال ثغرات CVE في Linux kernel وبيئة تصحيح الأخطاء ذات الصلة. لم تعد بحاجة إلى تجميع Linux kernel أو إعداد بيئتك بعد الآن.
لا يزال قيد التحديث......
تقرير تحليل استغلال ثغرات CVE في نواة Linux وبيئة التصحيح ذات الصلة. لم تعد بحاجة إلى تجميع نواة Linux أو إعداد بيئتك بعد الآن.
يهدف هذا المستودع إلى استخراج جميع استغلالات نواة Linux وبيئة التصحيح ذات الصلة. يمكنك استخدام Qemu لتشغيل النواة واختبار الاستغلال.
john@john-virtual-machine:~/Desktop/kernel-exploit-factory/CVE-2017-11176$ ./start.sh chmod: /dev/csaw: No such file or directory ifconfig: SIOCSIFADDR: No such device route: SIOCADDRT: No such device / $ uname -a Linux (none) 4.11.9 #1 SMP Sat Feb 20 21:52:39 CST 2021 x86_64 GNU/Linux / $ id uid=1000(chal) gid=1000(chal) groups=1000(chal) / $ cd exp /exp $ ./exp-slab-4119 [] sk_rmem_alloc > sk_rcvbuf ==> ok [] mq_notify start [*] wake up thread 1 ... ... /exp # id uid=0(root) gid=0(root) /exp #
---
## الفهرس
1. CVE-2015-8550
2. CVE-2016-9793
3. 4-20-BPF-integer
4. CVE-2017-5123
5. CVE-2017-6074
6. CVE-2017-7308
7. CVE-2017-8890
8. CVE-2017-11176
9. CVE-2017-16995
10. CVE-2017-1000112
11. CVE-2018-5333
12. CVE-2019-9213 & CVE-2019-8956
13. CVE-2019-15666
14. CVE-2020-8835
15. CVE-2020-27194
16. CVE-2021-3156
17. CVE-2021-31440
18. CVE-2021-3490
19. CVE-2021-22555
20. CVE-2021-41073
21. CVE-2021-4154
22. CVE-2021-42008
23. CVE-2021-43267
24. CVE-2022-0185
25. CVE-2022-0847
26. CVE-2022-0995
27. CVE-2022-1015
28. CVE-2022-2588
29. CVE-2022-2602
30. CVE-2022-2639
31. CVE-2022-25636
32. CVE-2022-27666
33. CVE-2022-32250
34. CVE-2022-34918
35. CVE-2023-2598
36. CVE-2024-1086
37. CVE-2025-21702
38. CVE-2026-23271
---
## التفاصيل
#### 1.CVE-2015-8550
[الشرح](https://blog.csdn.net/panhewu9919/article/details/100891770)
**إصدار الاختبار**: Linux-4.19.65
**الحماية**: تم تفعيل kaslr/SMEP، ولم يتم تفعيل SMAP.
**الثغرة**: ثغرة **Double-Fetch** ناتجة عن تحسينات مترجم gcc، ويمكنها اختطاف تدفق التحكم مباشرة.
#### 2. CVE-2016-9793
[الشرح](https://blog.csdn.net/panhewu9919/article/details/120164051)
**إصدار الاختبار**: Linux-4.8.13
**الحماية**: لم يتم تفعيل KASLR/SMAP/SMEP. البنية المزيفة [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) موجودة في مساحة المستخدم، ومن الواضح أنها لا تستطيع تجاوز SMAP.
**الثغرة**: الدالة [sock_setsockopt()](https://elixir.bootlin.com/linux/v4.8.13/source/net/core/sock.c#L658) في `net/core/sock.c` **تعالج القيم السالبة بشكل خاطئ**، مما يؤدي إلى أن تصبح قيمة `sk_sndbuf` و `sk_rcvbuf` سالبة. عند استدعاء `write` يتم تعيين `skb->head` و `skb->end` بشكل خاطئ، وعند استدعاء `close` للتحرير يحدث خطأ عند الوصول إلى مساحة المستخدم. يتم تزوير بنية [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) عند العنوان `0xfffffed0` في مساحة المستخدم، ويتم اختطاف تدفق التحكم عبر `skb_shared_info->destructor_arg->callback`.
#### 3. 4-20-BPF-integer
[الشرح](https://www.cnblogs.com/bsauce/p/11560224.html)
**إصدار الاختبار**: Linux-4.20.0-rc3
**الحماية**: تم تفعيل SMEP، ولم يتم تفعيل kaslr/SMAP.
**الثغرة**: ثغرة **فيضان عددي صحيح** في `queue_stack_map_alloc()` في وحدة ebpf في Linux، مما يؤدي إلى تجاوز سعة الكومة. يتم تعديل مؤشر الجدول الافتراضي لاختطاف تدفق التحكم إلى `xchg eax, esp`.
#### 4.CVE-2017-5123
[الشرح](https://www.jianshu.com/p/90a040114188)
**إصدار الاختبار**: Linux 4.14-rc4
**الحماية**: تم تفعيل SMEP / SMAP، وإيقاف KASLR.
**الثغرة**: تنفيذ `waitid` في `/kernel/exit.c`، عند استدعاء `unsafe_put_user()` لنسخ بيانات من النواة إلى عنوان في مساحة المستخدم، لا يتم استدعاء `access_ok()` للتحقق من صحة عنوان مساحة المستخدم، مما يسمح فعليًا بنسخ البيانات إلى عنوان في مساحة النواة. **عدم فحص waitid لصحة عنوان المستخدم يؤدي إلى كتابة عشوائية عند العنوان null**. يمكن تنفيذ شيل كود في العنوان 0 أو الكتابة فوق cred في نطاق تخميني لرفع الصلاحيات.
#### 5.CVE-2017-6074
[الشرح](https://bsauce.github.io/2021/09/17/CVE-2017-6074/) [المرجع](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-6074)
**إصدار الاختبار**: Linux-4.9.12
**الحماية**: تم تفعيل SMEP/SMAP، وإيقاف kASLR.
**الثغرة**: بروتوكول DCCP (بروتوكول التحكم في الازدحام لحزم البيانات) في عائلة بروتوكولات IP V6 في نواة Linux، الدالة [dccp_rcv_state_process()](https://elixir.bootlin.com/linux/v4.9.12/source/net/dccp/input.c#L574) في `net/dccp/input.c`، تتعامل بشكل خاطئ مع بنية بيانات حزمة `DCCP_PKT_REQUEST` في حالة `LISTEN`، وعند استخدام المستخدم لخيار `IPV6_RECVPKTINFO` واستدعاء `setsockopt()` يتم تشغيل **Double-Free لبنية `sk_buff`**. طريقة الاستغلال مشابهة لـ CVE-2016-8655. عند أول تشغيل للثغرة، يتم رش الكومة لتزوير بنية `po->rx_ring->prb_bdqc->retire_blk_timer` وتنفيذ `native_write_cr4(0x406e0)` لتعطيل SMEP/SMAP؛ وعند التشغيل الثاني للثغرة، يتم رش الكومة لتزوير بنية `skb-> ... ->destructor_arg` وتنفيذ `commit_creds(prepare_kernel_cred(0))` لرفع الصلاحيات.
#### 6.CVE-2017-7308
[الشرح](https://www.jianshu.com/p/b53862cd64a6) [المرجع](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-7308)
**إصدار الاختبار**: Linux-4.10.6
**الحماية**: تم تفعيل SMEP / SMAP، وإيقاف KASLR.
**الثغرة**: الدالة [`packet_set_ring()`](https://elixir.bootlin.com/linux/v4.10.6/source/net/packet/af_packet.c#L4181) في `net/packet/af_packet.c` لا تتحقق بشكل صحيح من حجم الكتلة، وشروط التحقق من الطول خاطئة، مما يؤدي إلى **تجاوز سعة الكومة**، ويتطلب صلاحية `CAP_NET_RAW`. يتم اختطاف مؤشر دالة مرتين، أولاً لتعطيل حماية SMEP/SMAP، ثم لرفع الصلاحيات.
#### 7.CVE-2017-8890
[الشرح](https://www.jianshu.com/p/699de662f567) [المرجع](https://xz.aliyun.com/t/2383)
**إصدار الاختبار**: Linux-4.10.15
**الحماية**: تم تفعيل SMEP، وإيقاف kASLR وSMAP.
**الثغرة**: الدالة [`inet_csk_clone_lock()`](https://elixir.bootlin.com/linux/v4.10.15/source/net/ipv4/inet_connection_sock.c#L652) في ملف `net/ipv4/inet_connection_sock.c` تحتوي على ثغرة **Double-Free**. يتم استغلال Double-Free لتعديل مؤشر دالة الاستدعاء الراجع الخاص بـ RCU، وتعطيل SMEP والقفز إلى شيل كود لتعديل cred.
#### 8.CVE-2017-11176
[الشرح](https://www.jianshu.com/p/76041ec5c59f)
**إصدار الاختبار**: Linux-4.11.9
**الحماية**: تم تفعيل SMEP، وإيقاف kASLR وSMAP.
**الثغرة**: في تنفيذ قوائم رسائل POSIX في نواة Linux، الدالة `mq_notify()` لا تقوم بتعيين مؤشر sock إلى null، مما يؤدي إلى UAF. في الواقع هو **ثغرة Double-Free ناتجة عن سباق**، لكن يمكن تمديد مدة السباق إلى ما لا نهاية.
#### 9.CVE-2017-16995
[الشرح](https://www.cnblogs.com/bsauce/p/11583310.html)
**إصدار الاختبار**: Linux-4.4.110
**الحماية**: تم تفعيل SMEP/SMAP/kaslr.
**الثغرة**: مشكلة **توسيع الأعداد الصحيحة** في وحدة ebpf في Linux، والمشكلة الرئيسية هي اختلاف نوع قيم السجلين، مما يؤدي إلى عدم تطابق طريقة التنفيذ بين دالة الفحص والدالة الفعلية. لا تتضمن هذه الثغرة هجومًا على المكدس أو اختطاف تدفق التحكم، بل تستخدم فقط بيانات استدعاءات النظام لرفع الصلاحيات، وهي تطبيق نموذجي للهجمات الموجهة بالبيانات على نواة Linux.
#### 10. CVE-2017-1000112
[الشرح](https://www.jianshu.com/p/1fa163fd5b82) [المرجع](https://bbs.pediy.com/thread-265319.htm)
**إصدار الاختبار**: Linux-4.12.6
**الحماية**: تم تفعيل SMEP، وإيقاف SMAP/kaslr.
**الثغرة**: الدالة [__ip_append_data()](https://elixir.bootlin.com/linux/v4.12.6/source/net/ipv4/ip_output.c#L910) في `net/ipv4/ip_output.c` لا تضمن اتساق معالجة حزم UDP، مما يؤدي إلى إمكانية التحول من مسار UFO إلى مسار non-UFO عند إرسال حزمتين، مما يسبب **تجاوز سعة الكومة**. يمكن عند الاستغلال الكتابة فوق `skb_shared_info->destructor_arg->callback` لاختطاف تدفق التحكم.
#### 11. CVE-2018-5333
[الشرح](https://blog.csdn.net/panhewu9919/article/details/119153052)
**إصدار الاختبار**: Linux-4.14.13
**الحماية**: تم تفعيل SMEP، وإيقاف SMAP/kaslr.