TUNderflow (CVE-2026-81000)

الشرح التفصيلي

[!WARNING] تم توفير PoC فقط لمساعدة المدافعين والمشرفين وفرق الأمن المصرّح لها على التحقق من التصحيحات والتخفيفات وآليات الكشف ومدى التعرّض على الأنظمة التي يملكونها أو المصرّح لهم صراحةً باختبارها.

أنت وحدك المسؤول عن ضمان أن استخدامك لهذه المواد قانوني ومصرّح به ومُتحكَّم فيه ويجري داخل بيئة اختبار معزولة.

[!WARNING] هذا PoC مُدمِّر. فهو يعدّل /etc/pam.d/su دون أي إمكانية للتراجع. أي كتابة فوقية في غير موضعها قد تُفسد ذاكرة نواة غير ذات صلة وتُعلّق الجهاز أو تُسقطه.

شغّله فقط داخل جهاز افتراضي قابل للتخلص منه أو مضيف مؤقت.

الـ PoC:

1. يدخل إلى نطاق أسماء (namespace) خاص بالمستخدم/الشبكة، وينشئ أجهزة TUN وإعداد OVS/netkit/VXLAN الذي ينشر مساحة استقبال (receive headroom) مفرطة الحجم
2. يهيّئ رؤوس skb بحجم 4 KiB بجوار حلقات pipe تحتوي على مخزن مؤقت بحجم بايت واحد مدعوم بملف من /etc/pam.d/su
3. يرسل حزم TUN مرشّحة يمكن لكتابة OVS خارج الحدود فيها أن تضبط PIPE_BUF_FLAG_CAN_MERGE في pipe_buffer قريب، و
4. يكتب pam_permit.so عبر الـ pipe، منهيًا ذلك بـ su - root.

يفترض الـ PoC ويستهدف معمارية x86-64 لتبسيط الأمور. نظريًا، لا ينبغي أن يكون الخطأ خاصًا بمعمارية معينة.

المتطلبات

سردٌ شاملٌ للاكتمال:

• Fedora 44 Server مع 6.19.10-300.fc44.x86_64، أو Ubuntu 24.04.4 مع 6.17.0-40-generic (يمكنك محاولة إزالة هذه الفحوصات، لكن التوزيعات/إصدارات النواة الأخرى قد تتطلب تخصيصًا/تهيئةً لكل هدف)
• حساب عادي غير جذري (non-root)، وملف /etc/pam.d/su غير معدّل يحتوي على pam_rootok.so، ووحدتا PAM هما pam_rootok.so وpam_permit.so
• المعالج المنطقي 0 ضمن قناع ارتباط العملية (affinity mask)
• إنشاء نطاق أسماء مستخدم/شبكة غير متميّز مع CAP_NET_ADMIN داخل ذلك النطاق
• وجود /dev/net/tun قابل للوصول، بالإضافة إلى دعم النواة لـ TUN وOpen vSwitch datapath وnetkit وVXLAN
• صلاحية إنشاء حلقات pipe بحجم 256 KiB وسعة لنحو 800 واصف ملف مفتوح
• أمور متنوعة في مساحة المستخدم (والتي يُفترض أن التوزيعات المُختبرة ضمن النطاق تمتلكها افتراضيًا في الغالب): Python 3.10+، وip، وunshare، وtrue، وsu، بالإضافة إلى وملف التعريف المحمّل على Ubuntu إذا رُفض المباشر

تم اختبار كلا الهدفين بـ 29 vCPU مع 4 GB و32 GB من الذاكرة العشوائية، وكان الأخير أكثر موثوقية. قد تتطلب تركيبات أخرى من المعالج/الذاكرة مزيدًا من التهيئة وقد تعيد توجيه الكتابة الفوقية إلى ذاكرة غير ذات صلة.

شغّله كمستخدم غير متميّز لديه مدخل في passwd.

الاستخدام

python3 tunderflow_root_repro.py