Page-Cache LPE Containment Kit

Erkennen, eindämmen und Verteidigungen verifizieren gegen zwei Linux Page-Cache-Korruptions-Local-Privilege-Escalations — DirtyClone (CVE-2026-43503) und pedit COW (CVE-2026-46331) — auf Hosts und Containern.

Dies ist ein bildungsorientiertes, defensives Sicherheitskit. Es erklärt, wie beide Schwachstellen auf Syscall-Ebene funktionieren, und enthält Härtungs-, Erkennungs-, Verifizierungs- und Seccomp-Werkzeuge — plus ein Validierungs-Framework, das nachweist, dass die Werkzeuge auf echten Kernen funktionieren. Es enthält absichtlich keinen Exploit, Shellcode oder Ziel-Offsets.

Table of contents

• Warum dies existiert
• Die Schwachstelle in 30 Sekunden
• Schnellstart
• Was enthalten ist
• Anforderungen
• Umfang & Ethik
• Mehr erfahren
• Mitwirken
• Lizenz

Warum dies existiert

Beide CVEs ermöglichen es einem unprivilegierten lokalen Benutzer, root zu werden, indem sie den Page Cache (die RAM-Kopie) einer setuid-root-Binärdatei wie /usr/bin/su korrumpieren – ohne jemals die Datei auf der Festplatte zu berühren. Das macht sie heimlich: Dateiintegritätsüberwachung bleibt grün, Datenträgerforensik findet nichts, und die Korruption verschwindet beim Neustart.

Das Patchen des Kernels ist die eigentliche Lösung. Aber während des Rollout-Fensters – und als Defense-in-Depth danach – müssen Sie die Angriffspfade schließen, die Angriffskette überwachen und Ihre Sicherheitslage verifizieren. Das bietet dieses Kit, wobei jede Kontrolle auf einen dokumentierten Schritt der Exploit-Kette abgebildet ist, sodass Sie sehen können, warum sie funktioniert.

Die Schwachstelle in 30 Sekunden

Beide Fehler gehören zur gleichen Fehlerklasse: Der Kernel schreibt in einen Puffer, den er für privat hält, während dieser Puffer noch von gemeinsam genutztem, dateigestütztem Page-Cache-Speicher unterstützt wird. Zwei strukturelle Tore steuern jede Variante beider Ketten:

Behoben im Upstream in stabilen Point-Releases (DirtyClone ≥ 6.12.91 / 7.0.10; pedit COW 6.12.94 / 7.0.13) sowie Vendor-Backports; Mainline 7.1 ist endgültig. Überprüfen Sie Ihren Kernel anhand des Trackers Ihrer Distribution – siehe docs/analysis.md §8.

Schnellstart

Nur Linux-Hosts. Diese Skripte lesen und schreiben echten Kernel-Status. Führen Sie die Härtung auf einem von Ihnen kontrollierten Host durch; führen Sie das zerstörerische Validierungs-Framework auf einer Wegwerf-VM aus. Siehe Anforderungen.

# 1. Preview the host containment changes (writes nothing)
sudo ./kit/harden-pagecache-lpe.sh --dry-run

# 2. Apply userns restrictions + vulnerable-module blocks
sudo ./kit/harden-pagecache-lpe.sh

# 3. Verify posture — run the functional probe as an UNPRIVILEGED user
sudo -u nobody ./kit/verify-pagecache-lpe.sh        # exit: 0=PASS 1=WARN 2=FAIL

# 4. (Optional) Watch the attack chain live with eBPF
sudo bpftrace ./kit/detect-pagecache-lpe.bt

Für Container wenden Sie das Seccomp-Overlay an (kit/seccomp-pagecache-lpe.json):

docker run --security-opt seccomp=kit/seccomp-pagecache-lpe.json <image>

Neu hier? Lesen Sie START-HERE.md – einen geführten, vorlesungsartigen Rundgang von der Grundursache bis zu einem vollständigen Validierungslauf.

Was enthalten ist

.
├── START-HERE.md          Guided walkthrough — the recommended entry point
├── docs/                  The "why": analysis and operator guidance
│   ├── analysis.md                Root-cause analysis, attack chains, detection engineering
│   ├── HARDENING-GUIDE.md         Operator containment guide (host → systemd → Docker → Kubernetes)
│   └── plain-language-summary.md  Gentler, plain-English overview of both bugs
├── kit/                   The "what you run": four self-contained artifacts
│   ├── harden-pagecache-lpe.sh    Apply host containment (sysctl + module blocks)
│   ├── verify-pagecache-lpe.sh    Read-only posture check (PASS/WARN/FAIL)
│   ├── detect-pagecache-lpe.bt    bpftrace/eBPF telemetry for the staging chain
│   └── seccomp-pagecache-lpe.json Container seccomp overlay denying the chain's syscalls
└── testkit/               The "proof": validation harness + SHOWCASE.md writeup

Anforderungen

• Härtung & Verifikation (harden, verify): Ein Linux-Host mit bash, sysctl, modprobe und unshare. Root für Härtung; führen Sie die Verifikationssonde als Nicht-Root-Benutzer aus.
• Erkennung (detect-pagecache-lpe.bt): Root, bpftrace ≥ 0.16 und Kernel BTF (/sys/kernel/btf/vmlinux). Einige kprobes können auf einem bestimmten Kernel inlined sein – der Skriptkopf erklärt, wie man sich anpasst.
• Seccomp-Overlay: Beliebige OCI-Laufzeit (Docker, Podman, containerd).
• Validierungs-Framework (testkit/): Eine Wegwerf-Linux-VM – es schreibt echte Konfiguration und entlädt Kernelmodule. Der EC2-Starter benötigt die AWS CLI v2 und jq; es wird kein SSH verwendet (Transport ist AWS SSM). macOS-Benutzer können den lokalen Docker-Smoke-Test ausführen, aber die vollständige Validierung erfordert Linux.

Umfang & Ethik

TLP:CLEAR — öffentliche, uneingeschränkte Verbreitung. Dieses Repository dient ausschließlich der Erkennung und Prävention. Es enthält bewusst:

• Root-Cause-Analyse auf Syscall-/Kernel-Subsystem-Ebene
• Härtungs-, Erkennungs-, Verifikations- und Seccomp-Werkzeuge
• Ein Validierungs-Framework, das die Verteidigungen testet

…und schließt bewusst aus:

• Ausführbaren Exploit-Code, Proof-of-Concept-Payloads oder Shellcode
• Controlled-Write-Ableitung oder Ziel-Offsets
• Alles, was die Waffenweiterentwicklung vorantreibt

Die ehrlichen Grenzen dieses Ansatzes – was die Validierung beweist und was nicht – sind in testkit/SHOWCASE.md §8 dokumentiert. Verwenden Sie dies nur auf Systemen, die Sie besitzen oder zu testen berechtigt sind. Härtung ist Eindämmung, kein Heilmittel: Patchen Sie Ihren Kernel.

Mehr erfahren

• START-HERE.md — der geführte Rundgang (hier beginnen)
• docs/analysis.md — die vollständige technische Analyse
• docs/plain-language-summary.md — eine sanftere, verständliche englische Übersicht

Mitwirken

Issues und Pull-Requests sind willkommen – siehe CONTRIBUTING.md. Da die Kontrollen über mehrere Dateien gespiegelt sind (die Modulliste, die userns-Knöpfe, die Erkennungs-Bitmap), lesen Sie bitte die Sync-Invarianten in dieser Anleitung, bevor Sie die Angriffsfläche ändern.

Lizenz

Lizenziert unter der Apache License 2.0.