Linux LPE Toolkit

مجموعة أدوات لتصعيد الامتيازات متعددة البنى، تضم 24 استغلالًا (amd64 مُجمَّع مسبقًا؛ البنى الأخرى تُجمَّع عبر gcc وقت التشغيل). تدعم amd64 وarm64 و386 وmips وmipsle وmips64 وmips64le. تكتشف إصدار النواة، وتستبعد الاستغلالات التي تم تصحيحها، وتجرّب كل استغلال على التوالي حتى الحصول على صلاحيات root.

بدء سريع

# run directly (no gcc needed on target if pre-compiled binaries are embedded)
./lpe-toolkit

# dry-run: show exploit plan without executing
./lpe-toolkit --dry-run

# skip specific exploits
./lpe-toolkit --skip "dirtyfrag,dirtypipe"

# execute a command once root is achieved and show its output
./lpe-toolkit -c "id"

# silent automation: suppress all output except the command result
./lpe-toolkit -q -c "whoami"

# verbose output (includes exploit stdout/stderr)
./lpe-toolkit -v

الاستخدام

ملاحظة: -v و -q متنافيتان — تخرج الأداة برسالة خطأ إذا تم تحديدهما معًا.

الاستغلالات

البناء من المصدر

# native build (pre-compile C exploits then embed in Go binary)
make

# cross-compile for all architectures (native arch's C exploits only)
make build-all

# run directly from source (compile exploits on target at runtime)
make run-source

# clean build artifacts
make clean

المتطلبات: Go 1.21+ وgcc ومُصرّفات cross لكل بنى الأهداف:

• arm64: aarch64-linux-gnu-gcc
• 386: i686-linux-gnu-gcc
• mips: mips-linux-gnu-gcc
• mipsle: mipsel-linux-gnu-gcc
• mips64: mips64-linux-gnuabi64-gcc
• mips64le: mips64el-linux-gnuabi64-gcc

تغليف الثنائيات المُجمَّعة مسبقًا

يؤدي العلم --just-build إلى حل جميع الاستغلالات القابلة للاستخدام وطباعة مساراتها. استخدمه للتحقق مما سيكون متاحًا وقت التشغيل.

يتضمن أرشيف الثنائيات المُجمَّعة مسبقًا لكل إصدار ثنائي Go مرتبطًا بشكل ثابت (statically linked) مع استغلالات C مدمجة. جميع الاستغلالات مُجمَّعة مسبقًا لجميع البنى.

البنية

• toolkit.go: تعريفات الاستغلال الأساسية، تحليل إصدار النواة، حل مسارات الثنائيات، معالج استغلال sudo عبر GTFOBins، وexecCommandAsRoot() لتنفيذ الأوامر غير التفاعلية، وأدوات المساعدة للتفصيل msg()/say()
• main.go: نقطة دخول واجهة الأوامر مع العلامات (-c, -q, -v, --skip, --dry-run, --just-build) ومعالجة الإشارات
• build-exploits.sh: سكربت الترجمة المتقاطعة لاستغلالات C
• exploits/: ملفات مصدر C وثنائيات مُجمَّعة مسبقًا مدمجة عبر //go:embed

تغييرات بارزة

• cve_2026_41651.c: أُضيف Pack2TheRoot — عميل D-Bus خام (بدون libdbus) يستغل السباق على علامتي InstallFiles SIMULATE/NONE في PackageKit لتشغيل postinst بصلاحيات root، ويضع bash بصلاحية setuid-root في /var/tmp/.suid_bash

• تم إصلاح parseKernelVersion: أُضيف parseIntPrefix للتعامل مع لاحقات -rcN عند مقارنة إصدارات النواة

• أُعيدت كتابة bad_epoll.c وفق معمارية J-jaeyoung الصحيحة: زوجان من epoll، توسيع IRQ عبر timerfd باستخدام أكثر من 3000 مُنتظِر، تنبؤ بعمق 3 (depth-3 oracle)، وذرّيات acquire/release على المتغيرات المشتركة

• جميع الاستغلالات (بما فيها المكتفية بالتسريب أو إثبات المفهوم) تفتح الآن شل root أو تنفذ الأمر المطلوب

• cve_2026_46333.c: أُضيفت try_passwd_root() — تسرق واصف /etc/shadow القابل للكتابة من passwd، وتكتب تجزئة كلمة مرور معروفة، ثم تفتح su -؛ وتتراجع إلى طرق التسريب فقط عند الفشل

• cve_2025_38352.c: أُضيف استبدال /etc/passwd بأسلوب dirtypipe عبر → → يفتح

استغلالات جديدة أُضيفت

• peditcow.c (CVE-2026-46331): بدائية كتابة page-cache عبر tc-pedit تستبدل مدخل ELF الخاص بـ su بشيل كود (shellcode). الإصدارات v5.18–v7.1-rc6. مستخدم غير مميز + مساحة اسم شبكة (net namespace) يمنحان CAP_NET_ADMIN.
• dirtyclone.c (CVE-2026-43503): نقل أداة DirtyClone من Python إلى C. هدف netfilter عبر ESP-in-UDP TEE يُفسد /etc/passwd. يحتوي على تطبيق AES-128-CBC مكتفٍ بذاته. الإصدارات v7.1-rc1–rc4.
• bad_epoll.c (CVE-2026-46242): سباق Bad Epoll للإغلاق مقابل الإغلاق مع استعمال بعد تحرير (UAF). خاص ببنى محددة: الإزاحات الافتراضية تستهدف lts-6.12.67 (kernelCTF). خصص تعريفات OFF_* وPIVOT* وفق نواتك. يتطلب /proc/kallsyms (kptr_restrict=0). شغّله على نواة غير مُصححة — الإصلاح (الالتزام a6dc643c6931، الذي يضيف ep_clear_and_put) نُقل إلى توزيعات عديدة بما فيها نواة 6.8 HWE في أوبونتو 22.04.
• cve_2026_31694.c (CVE-2026-31694): كتابة خارج الحدود (OOB) في ذاكرة cache لوظيفة readdir في FUSE. تُفيض 24 بايتًا إلى صفحة page-cache المجاورة لجعل جذر /etc/passwd بلا كلمة مرور. الإصدار v6.15+. يتطلب fusermount3.