PPPoEject (CVE-2026-68121)

Writeup

[!WARNING] Das PoC wird ausschließlich bereitgestellt, um Verteidigern, Maintainern und autorisierten Sicherheitsteams dabei zu helfen, Patches, Mitigationen, Detektionen und Exposition auf Systemen zu validieren, die sie besitzen oder für deren Test sie ausdrücklich autorisiert sind.

Sie sind allein dafür verantwortlich, sicherzustellen, dass Ihre Nutzung dieses Materials rechtmäßig, autorisiert, kontrolliert und in einer isolierten Testumgebung erfolgt.

[!WARNING] Dieses PoC ist destruktiv. Es korrumpiert absichtlich den Live-Kernelspeicher. Ein fehlplatzierter Overwrite kann unrelated Kernel-Speicher korrumpieren und die Maschine zum Hängen/Booten bringen.

Nur in einer wegwerfbaren VM/Wegwerf-Host ausführen.

Das PoC:

1. Kompiliert eingebettete Helper und lokalisiert die randomisierte Kernel-Text-Basis mit einem x86-64 Prefetch/RDTSCP Timing-Seitenkanal
2. baut einen AF_PACKET TX-Ring-Carrier, der gefälschte struct file-Objekte enthält, und groomt eine befüllte fdtable in die Zielallokation
3. blockiert eine PPPoE-Payload-Kopie auf einer angreifer-eigenen FUSE-Seite und fügt dann IP6GRE zu einem leeren Team-Device auf Fedora oder über eine Bonding-Kette auf Ubuntu hinzu
4. lässt dev_hard_header() den skb-Head reallokieren und nutzt dann den veralteten PPPoE- Header-Zeiger, um einen fdtable-Eintrag auf die gefälschte Datei umzuleiten, und
5. schließt den umgeleiteten Deskriptor, führt den kontrollierten Callback aus, installiert Root-Credentials und öffnet /bin/sh -p.

Das PoC geht von x86-64 aus und zielt darauf ab, um die Dinge einfach zu halten. Theoretisch sollte der Bug nicht architekturspezifisch sein, aber man müsste viel portieren (vom Leaken der Kernel-Basis bis zum Rest der Kette).

Anforderungen

Zur Vollständigkeit erschöpfend aufgelistet:

• Mindestens 4 verfügbare CPUs (wichtig für die PPPoE-Sender-, fdtable- Reclaimer/Carrier-, FUSE-Blocker- und Trigger/Release-Orchestrator-Worker, damit sie zeitkritische Arbeit mit weniger Scheduler-Interferenz ausführen können)
• Fedora 44 mit 6.19.10-300.fc44.x86_64 oder Ubuntu 24.04 mit 6.8.0-124-generic oder 6.8.0-136-generic (Sie können versuchen, diese Checks zu entfernen, aber andere Distros/Kernel-Versionen erfordern möglicherweise ziel-spezifische Anpassung/Grooming)
• Ein gewöhnliches Nicht-Root-Konto mit einem passwd-Eintrag und einem Home-Verzeichnis, das es besitzt
• Eine Intel- oder AMD-x86-64-CPU mit RDTSCP, inaktivem KPTI/PTI und mindestens vier logischen CPUs in der Prozess-Affinitätsmaske
• Unprivilegierte User-/Network-Namespace-Erstellung mit CAP_NET_ADMIN und CAP_NET_RAW innerhalb dieses Namespace
• Lese-/Schreibzugriff auf /dev/fuse, plus FUSE-, PPPoE-, IP6GRE-, AF_PACKET/TX-Ring- und Team-Unterstützung auf Fedora bzw. Bonding-Unterstützung auf Ubuntu
• Privates expedited membarrier für ausgewählte Low-Order-Layouts
• Dummy- und 802.1Q-VLAN-Devices für ausgewählte High-Order-Layouts
• Ein RLIMIT_NOFILE-Hard-Limit, das groß genug für die gewählte Carrier-Geometrie ist, zur Laufzeit geprüft und möglicherweise bis zu 8.192 Deskriptoren erfordernd

Nur mit 4GB RAM und verschiedenen 4+ CPU-Anzahlen getestet. Andere CPU-/Speicher-Kombinationen benötigen möglicherweise mehr Grooming und/oder könnten den Write in unrelated Speicher umleiten.

Führen Sie es als unprivilegierter Benutzer mit einem passwd-Eintrag aus. Die Ubuntu-Konvertierung kann eine Weile dauern (z. B. 300+ Versuche).

Verwendung

python3 pppoeject_root_repro.py