DiagSpill (CVE-2026-74469)

التحليل

[!WARNING] يتم توفير PoC فقط لمساعدة المدافعين والصيانة وفرق الأمن المصرح لها على التحقق من التصحيحات والتخفيفات والكشف والتعرض على الأنظمة التي يملكونها أو المصرح لهم صراحةً باختبارها.

أنت وحدك المسؤول عن ضمان أن استخدامك لهذه المواد قانوني ومصرح به ومُتحكَّم فيه ويُجرى في بيئة اختبار معزولة.

[!WARNING] هذا PoC مدمّر. فهو يستبدل ما يقرب من 8 ميبي بايت من ذاكرة النواة ويترك جداول صفحات تالفة محتجزة بواسطة حامل الذاكرة القربانية diagspill_hold حتى إعادة التشغيل. إنهاء تلك العملية قد يزعزع استقرار النواة.

قد تتلف ذاكرة غير ذات صلة وقد يتعطل الجهاز. شغّله فقط في جهاز افتراضي قابل للتخلص منه/مضيف مؤقت.

الـ PoC:

1. يجمّع ثغرة C المدمجة (التي تقوم بما يلي)
2. يضع skbs ردود تشخيص SCTP بجانب خزان كبير لجداول الصفحات ويبدأ 2,048 عملية عاملة للبيانات الاعتمادية
3. ينشئ ارتباط SCTP مع 81,920 نقل نظير، حيث يكون عدّاده 16-بت هو 16,384، ثم يطلب من sock_diag ردًا بحجم 16,384 نظيرًا بينما تكتب حلقة النسخ جميع الـ 81,920
4. يحوّل إدخالات PMD المستبدلة إلى تعيينات قابلة للقراءة والكتابة من قبل المستخدم لذاكرة الوصول العشوائي الفعلية، ثم يفحصها بحثًا عن البيانات الاعتمادية الحية للعمال، و
5. يصفّر حقول UID/GID لعامل، ويستخدم ذلك العامل لتثبيت قاعدة sudoers مؤقتة، ويفتح صدفة جذر عبر sudo، ويفصل العملية التي تحتفظ بالتعيينات التالفة.

يفترض الـ PoC ويستهدف x86-64 لإبقاء الأمور بسيطة. نظريًا، لا ينبغي أن تكون الثغرة خاصة بمعمارية معينة.

المتطلبات

سرد شامل للاكتمال:

• Ubuntu 24.04 مع 6.17.0-35-generic، أو Fedora 44 مع 6.19.10-300.fc44.x86_64 (يمكنك محاولة إزالة هذه الفحوصات، لكن التوزيعات/إصدارات النواة الأخرى قد تتطلب تخصيصًا/تهيئة لكل هدف)
• x86-64 مع صفحات 4 كيبي بايت، وأربع وحدات معالجة منطقية متصلة بالضبط، ووحدات المعالجة 0-3 في قناع ارتباط العملية، وMemTotal بين 3,700,000 و4,200,000 كيبي بايت
• حساب عادي تتطابق فيه قيم UID/GID الحقيقية والفعلية والمحفوظة
• اسم حساب يحتوي فقط على أحرف أو أرقام أو _ أو -
• لا يوجد وصول قراءة مسبق إلى /root أو sudo بدون كلمة مرور
• دعم نواة SCTP وsctp_diag، وتخصيص صفحات ضخمة شفافة، وحدود كافية للعمليات/الملفات لـ 2,048 عامل وجدار مقبس التشخيص، ومساحة عناوين x86-64 وذاكرة كافية للاحتفاظ بحوالي 2,343 ميبي بايت من جداول الصفحات على Ubuntu أو 3,125 ميبي بايت على Fedora
• تضمين /etc/sudoers.d عامل و/usr/bin/sudo قابل للتنفيذ
• أمور متنوعة في مساحة المستخدم (والتي يجب أن تتوفر في التوزيعات المختبرة ضمن النطاق بشكل افتراضي في الغالب): Python 3.9+، و/usr/bin/env، وcc مع libc وترويسات تطوير Linux UAPI، وid، وsudo، وtrue، وsh، وrm

الـ PoC حساس جدًا لعدد vCPU/الذاكرة، لذا فهو يفرض 4 vCPUs و4 جيجابايت ذاكرة. ستحتاج على الأرجح إلى تخصيص/تهيئة لكل هدف لمجموعات vCPU/الذاكرة الأخرى.

شغّله كمستخدم غير مميز مع إدخال passwd؛ قد يستغرق الـ PoC بعض الوقت لبناء ارتباط SCTP الكبير.

الاستخدام

python3 diagspill_root_repro.py

بعد التشغيل (ناجحًا كان أو لا)، أعد تشغيل الجهاز لتحرير diagspill_hold لتكون آمنًا. إذا أنهيته مباشرة، فمن شبه المؤكد أنك ستزعزع استقرار النواة.