🛠️ PinTheft — CVE-2026-43494

Lokale Privilegieneskalation im Linux-Kernel durch RDS + io_uring Page Cache Overwrite

📌 Übersicht

PinTheft ist ein ausgeklügelter lokaler Root-Exploit für CVE-2026-43494, einen Referenzzählungsfehler im Reliable Datagram Sockets (RDS)-Subsystem des Linux-Kernels.

Durch Kombination eines Double-Free im RDS-Zero-Copy-Pfad mit io_urings fixed buffers erreicht der Exploit ein zuverlässiges Überschreiben des Seiten-Caches von SUID-root-Binärdateien, was zu einer lokalen Privilegieneskalation auf root führt.

Ein kleiner Buchungsfehler in einem obskuren Netzwerkpfad wird zu einer zuverlässigen LPE, wenn er mit modernen io_uring-Funktionen gemischt wird.

🧪 Schwachstellendetails

• Komponente: net/rds
• Auslöser: Fehlerpfad in rds_message_zcopy_from_user() → falsche op_nents-Behandlung
• Grundursache: Doppeltes put_page() nach fehlgeschlagenem iov_iter_get_pages2()
• Auswirkung: Nicht privilegierter lokaler Benutzer → root

CVSS-Score: ~7.8 (Hoch)

🎯 Exploit-Technik ("PinTheft")

1. Zielseite pinnen mit io_uring REGISTER_BUFFERS (+1024 FOLL_PIN-Referenzen)
2. Puffer klonen in zweiten Ring + mit Daemon halten (verhindert Unpin beim Schließen)
3. Alle 1024 Pins stehlen durch wiederholte fehlschlagende RDS-Zero-Copy-sendmsg
4. munmap() → sauberes Freigeben an PCP (LIFO)
5. Auslösen der Seiten-Cache-Freigabe einer lesbaren SUID-Binärdatei
6. Überschreiben der freigegebenen Seite mit IORING_OP_READ_FIXED über einen baumelnden struct page*
7. Ausführen der modifizierten SUID-Binärdatei → root-Shell

Umgehungen:

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON
• bad_page()-Prüfungen
• io_uring Unpin bei Ringzerstörung

📋 Anforderungen

• Kernel mit aktiviertem CONFIG_RDS und CONFIG_RDS_TCP
• io_uring aktiviert (kernel.io_uring_disabled=0)
• Kernel ≥ 6.13 (für optimale io_uring-Funktionen)
• Mindestens eine lesbare SUID-root-Binärdatei auf dem System
• x86_64-Architektur

Standardmäßig nicht anfällig auf den meisten Distributionen (RDS ist selten aktiviert).

🚀 Verwendung

# 1. Clone & Compile
git clone https://github.com/0xBlackash/CVE-2026-43494.git
cd CVE-2026-43494
gcc -O2 -static CVE-2026-43494.c -o pintheft

# 2. Run
sudo ./pintheft

📁 Dateien

• CVE-2026-43494.c — Vollständiger Exploit-Quellcode (PinTheft)
• README.md — Dieses Dokument
• backup/ — Automatische Sicherungen überschriebener SUID-Binärdateien

🛡️ Gegenmaßnahmen

# Disable RDS
echo "install rds /bin/false" | sudo tee /etc/modprobe.d/disable-rds.conf
echo "install rds_tcp /bin/false" | sudo tee -a /etc/modprobe.d/disable-rds.conf
sudo modprobe -r rds_tcp rds

# Disable io_uring (if unused)
echo "kernel.io_uring_disabled=2" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Aktualisieren Sie Ihren Kernel, sobald Patches verfügbar sind.

🔍 Überprüfung

# Check if vulnerable
modprobe -n rds_tcp && echo "RDS: Vulnerable"
cat /proc/sys/kernel/io_uring_disabled
uname -r

⚠️ Haftungsausschluss

• Dieser Exploit dient nur zu Bildungs- und autorisierten Testzwecken.
• Missbrauch kann das System destabilisieren oder Datenverlust verursachen.
• Testen Sie immer in isolierten virtuellen Maschinen.

📜 Danksagungen

• Entdeckung & PoC: Ashraf Zaryouh "0xBlackash"
• CVE-Zuordnung: MITRE
• Öffentliche Offenlegung: 23. Mai 2026

Mit ❤️ für die Sicherheitsforschungsgemeinschaft erstellt

Bleib neugierig. Bleib sicher.