badepoll-selinux-disabler

استخراج مستقل لمرحلة تعطيل SELinux من استغلال CVE-2026-43074 eventpoll UAF. يقوم بتسابق فحص عمق حلقة eventpoll (ep_get_upwards_depth_proc) لكتابة صفر في selinux_state.enforcing، مما يحول الجهاز إلى وضع التصريح (Permissive) عبر كتابة بايت واحد في النواة. هذه هي الأولية لتعطيل MAC فقط — بدون تصعيد الصلاحيات.

[!WARNING] إثبات مفهوم لاستغلال النواة. قد يتسبب في تعطل النواة، أو إفساد البيانات، أو ترك الجهاز في حالة غير مستقرة. يُشغّل فقط على الأجهزة التي تمتلكها أو مرخص لك باختبارها. احتفظ بنسخة احتياطية أولاً.

الأصل

مقتطع من إثبات المفهوم الكامل بواسطة NebuSec (شجرة المصدر). ثغرة الاستخدام بعد التحرير (UAF) موجودة في فحص عمق حلقة eventpoll (ep_get_upwards_depth_proc)، الذي يجتاز epi->ep تحت RCU بينما يمكن لـ ep_free() تحرير struct eventpoll من خيط متزامن. تم إصلاحها من المنبع عن طريق تأجيل التحرير إلى فترة سماح RCU (الالتزام 07712db8; NVD, OSV).

هذا يختلف عن "Bad Epoll" (CVE-2026-46242)، وهو استخدام بعد التحرير منفصل في ep_remove() في نفس كود eventpoll؛ التسابق هنا هو تحديداً خلل عمر فحص عمق الحلقة الذي تم إصلاحه بواسطة 07712db8.

النوى المتأثرة

وفقاً لـ kernel.org CNA (عبر OSV/NVD)، التدفقات المستقرة المعرضة للخطر وإصلاحاتها:

• 6.4.0 – <6.6.136 (تم الإصلاح في 6.6.136)
• 6.7.0 – <6.12.83 (تم الإصلاح في 6.12.83)
• 6.13.0 – <6.18.24 (تم الإصلاح في 6.18.24)
• 6.19.0 – <6.19.14 (تم الإصلاح في 6.19.14)

النواة المستهدفة المحددة 6.6.118-android15-8 تقع ضمن نطاق 6.6 المتأثر (تم الإصلاح في 6.6.136). نوى البائعين الذين أعادوا تثبيت الإصلاح دون زيادة رقم إصدار المنبع ليست معرضة للخطر — تحقق من وجود التصحيح الفعلي بدلاً من الاعتماد على uname -r وحده.

الهدف

مثبت على بناء واحد دقيق — يتم الوصول إلى بايت التطبيق عبر اسم مستعار (KVA alias) مشفر ويعتمد التسابق على تخطيط slab لتلك النواة:

• الجهاز: Pixel 10 Pro / blazer
• النواة: 6.6.118-android15-8-g53e6e091166e-ab15266607-4k
• البصمة: google/blazer/blazer:17/CP2A.260705.006/15641320:user/release-keys
• الاسم المستعار: TARGET_SELINUX_ENFORCING_ALIAS = 0xffffff800236a2e0

إعادة استهداف بناء آخر يتطلب إعادة حساب الاسم المستعار (إزاحة صورة selinux_state + عنوان القاعدة + عنوان التحميل) في src/target.h.

البناء

يتطلب Android NDK مع سلسلة أدوات aarch64 clang. القيم الافتراضية: NDK_ROOT=/opt/android-ndk، API=35:

make            # → build/disabler

يمكن التعديل حسب الحاجة:

make API=35 NDK_ROOT=/path/to/android-ndk

التشغيل

ادفع build/disabler إلى الجهاز وشغّله كمستخدم shell (uid 2000). يجب أن يكون SELinux في حالة Enforcing عند البداية؛ وإلا سيتجاوز الثنائي التنفيذ. عند النجاح:

SELINUX_AFTER Permissive
RESULT PASS selinux_zero attempt=N

تحقق باستخدام getenforce → Permissive.

النطاق

يضيف الاستغلال الأصلي، فوق هذه الأولية، إعادة توجيه flags في pipe-buffer (كتابة على غرار DirtyPipe في صفحة ذاكرة تخزين مؤقت للقراءة فقط) والتي تصحح /system/bin/dumpstate لتوليد خفي جذر. تلك المراحل (pipe.c، patch.c، su.c، payloads.S، وتنسيق main.c الأصلي) تم إسقاطها هنا، وتم تقليص late_refs.c إلى مسار إعادة التوجيه بالبايت الصفري. تعطيل SELinux وحده لا يمنح صلاحيات الجذر — بل يزيل فقط إنفاذ MAC ليتمكن التحميل الناقل من العمل دون قيود.