DirtyAH6 (CVE-2026-80844)

Writeup

[!WARNING] Das PoC wird ausschließlich bereitgestellt, um Verteidigern, Maintainern und autorisierten Sicherheitsteams dabei zu helfen, Patches, Mitigationen, Detektionen und Exposition auf Systemen zu validieren, die sie besitzen oder für deren Test sie ausdrücklich autorisiert sind.

Sie sind allein dafür verantwortlich, sicherzustellen, dass Ihre Nutzung dieses Materials rechtmäßig, autorisiert, kontrolliert und in einer isolierten Testumgebung erfolgt.

[!WARNING] Dieses PoC ist destruktiv. Es modifiziert /etc/pam.d/su ohne jegliche Rollback-Möglichkeit. Ein fehlplatzierter Overwrite kann unzusammenhängenden Kernel-Speicher beschädigen und die Maschine zum Hängen/Booten bringen.

Nur in einer Wegwerf-VM/einem Wegwerf-Host ausführen.

Das PoC:

1. betritt einen privaten User-/Network-Namespace, baut veth-, IOAM6-, netem-, AH6- und ESP-in-UDP-Pfade auf und reiht file-backed ESP-skbs ein, die aus /etc/pam.d/su stammen

2. sendet einen fehlerhaften IPv6-Routing-Header, dessen segments_left seine Adressanzahl überschreitet, wodurch AH6 ein benachbartes Ziel-skb korrumpiert

3. nutzt die korrumpierten skb-Metadaten, um ESP ausgewählte Bytes in die file-backed PAM-Seite entschlüsseln zu lassen, und

4. führt su - root aus, nachdem pam_rootok.so zu pam_permit.so geworden ist.

Das PoC geht von x86-64 aus und zielt darauf ab, um die Sache einfach zu halten. Theoretisch sollte der Bug nicht architekturspezifisch sein.

Anforderungen

Zur Vollständigkeit erschöpfend aufgelistet:

• Fedora 43 mit 7.1.3-100.fc43.x86_64 oder Ubuntu 24.04 mit 6.8.0-134-generic (Sie können versuchen, diese Prüfungen zu entfernen, aber andere Distributionen/Kernel-Versionen erfordern möglicherweise ziel-spezifische Anpassungen/Grooming)
• Ein gewöhnliches Nicht-Root-Konto und das erwartete, unveränderte /etc/pam.d/su-Layout
• Unprivilegierte Erstellung von User-/Network-Namespaces mit CAP_NET_ADMIN und CAP_NET_RAW innerhalb dieses Namespace
• Kernel-Unterstützung für IPv6 AH/XFRM mit HMAC-SHA256, AES-CBC ESP-in-UDP, IOAM6 LWT, sch_netem und veth
• Diverse Userspace-Dinge (die die getesteten Distributionen im Geltungsbereich standardmäßig größtenteils haben sollten): Python 3.10+, gcc, openssl, ip, tc, unshare, nsenter, , , , , , , , , , , , , , und , plus und das geladene -Profil, falls direktes verweigert wird

Fedora lief am besten mit 16 vCPUs/32 GB RAM; Ubuntu mit 29 vCPUs/8 GB RAM -- andere Kombinationen könnten funktionieren (insbesondere andere vCPU-Anzahlen). Das PoC funktioniert einigermaßen mit einer Reihe anderer vCPU/RAM-Kombinationen, aber YMMV.

Führen Sie es als unprivilegierter Benutzer mit einem passwd-Eintrag aus.

Verwendung

python3 dirtyah6_root_repro.py