PPPoEject (CVE-2026-68121)

التحليل

[!WARNING] تم توفير PoC فقط لمساعدة المدافعين والصيانة وفرق الأمن المصرح لها على التحقق من التصحيحات والتخفيفات والكشف والتعرض على الأنظمة التي يملكونها أو المصرح لهم صراحة باختبارها.

أنت وحدك المسؤول عن ضمان أن استخدامك لهذه المواد قانوني ومصرح به ومُتحكم فيه ويُجرى في بيئة اختبار معزولة.

[!WARNING] هذا PoC مدمّر. إنه يفسد ذاكرة النواة الحية عن قصد. الكتابة الخاطئة يمكن أن تفسد ذاكرة نواة غير ذات صلة وتُعلّق/تُسقط الجهاز.

شغّله فقط في جهاز افتراضي قابل للتخلص منه/مضيف مؤقت.

الـ PoC:

1. يجمّع المساعدات المضمّنة ويحدد موقع قاعدة نص النواة العشوائية باستخدام قناة جانبية لتوقيت x86-64 prefetch/RDTSCP
2. يبني حامل AF_PACKET TX-ring يحتوي على كائنات struct file مزيفة ويهيّئ fdtable ممتلئًا في التخصيص الهدف
3. يوقف نسخ حمولة PPPoE على صفحة FUSE مملوكة للمهاجم، ثم يضيف IP6GRE إلى جهاز team فارغ على Fedora أو عبر سلسلة bonding على Ubuntu
4. يجعل dev_hard_header() يعيد تخصيص رأس skb، ثم يستخدم مؤشر رأس PPPoE القديم لإعادة توجيه مدخل fdtable إلى الملف المزيف، و
5. يغلق الواصف المُعاد توجيهه، وينفذ الاستدعاء المرتجع المتحكم به، ويثبّت بيانات اعتماد الجذر، ويفتح /bin/sh -p.

يفترض الـ PoC ويستهدف x86-64 لإبقاء الأمور بسيطة. نظريًا، لا ينبغي أن تكون العلة خاصة بمعمارية معينة، لكنك ستحتاج إلى نقل الكثير (من تسريب قاعدة النواة إلى بقية السلسلة).

المتطلبات

سرد شامل للاكتمال:

• 4 معالجات متاحة على الأقل (مهمة لمرسل PPPoE، ومستعيد/حامل fdtable، وحاجب FUSE، وعمال المنسّق المُشغّل/المحرّر لأداء عمل حساس للتوقيت بأقل تدخل من المجدول)
• Fedora 44 مع 6.19.10-300.fc44.x86_64، أو Ubuntu 24.04 مع 6.8.0-124-generic أو 6.8.0-136-generic (يمكنك محاولة إزالة هذه الفحوصات، لكن التوزيعات/إصدارات النواة الأخرى قد تتطلب تخصيصًا/تهيئة لكل هدف)
• حساب عادي غير جذر مع مدخل passwd ودليل منزلي يملكه
• معالج Intel أو AMD x86-64 مع RDTSCP، وKPTI/PTI غير نشط، و4 معالجات منطقية على الأقل في قناع ارتباط العملية
• إنشاء مساحة أسماء مستخدم/شبكة غير مميزة مع CAP_NET_ADMIN و CAP_NET_RAW داخل مساحة الأسماء تلك
• وصول قراءة/كتابة إلى /dev/fuse، بالإضافة إلى دعم FUSE وPPPoE وIP6GRE وAF_PACKET/TX-ring وteam على Fedora أو دعم bonding على Ubuntu
• membarrier خاص معجّل لتخطيطات محددة منخفضة الرتبة
• أجهزة Dummy و802.1Q VLAN لتخطيطات محددة عالية الرتبة
• حد صلب RLIMIT_NOFILE كبير بما يكفي لهندسة الحامل المختارة، يُفحص في وقت التشغيل وقد يتطلب ما يصل إلى 8,192 واصفًا
• أمور متنوعة في مساحة المستخدم (والتي يجب أن تتوفر في التوزيعات المختبرة ضمن النطاق بشكل افتراضي في الغالب): Python 3.10+، وgcc مع libc وترويسات تطوير Linux UAPI، و، و، و، و، و، بالإضافة إلى وملف تعريف المحمّل على Ubuntu إذا رُفض المباشر

تم الاختبار فقط مع 4GB RAM ومجموعة متنوعة من أعداد معالجات 4+. قد تتطلب تركيبات المعالج/الذاكرة الأخرى مزيدًا من التهيئة و/أو قد تعيد توجيه الكتابة إلى ذاكرة غير ذات صلة.

شغّله كمستخدم غير مميز مع مدخل passwd. قد يستغرق التحويل على Ubuntu وقتًا (على سبيل المثال، 300+ محاولة).

الاستخدام

python3 pppoeject_root_repro.py