TUNderflow (CVE-2026-81000)

Writeup

[!WARNING] Das PoC wird ausschließlich bereitgestellt, um Verteidigern, Maintainern und autorisierten Sicherheitsteams dabei zu helfen, Patches, Mitigationen, Detektionen und Exposition auf Systemen zu validieren, die sie besitzen oder für deren Test sie ausdrücklich autorisiert sind.

Sie sind allein dafür verantwortlich, sicherzustellen, dass Ihre Nutzung dieses Materials rechtmäßig, autorisiert, kontrolliert und in einer isolierten Testumgebung erfolgt.

[!WARNING] Dieses PoC ist destruktiv. Es modifiziert /etc/pam.d/su ohne jegliche Rückabwicklung. Ein fehlplatzierter Überschreibvorgang kann unrelated Kernel-Speicher beschädigen und die Maschine zum Hängen/Booten bringen.

Nur in einer Wegwerf-VM/Wegwerf-Host ausführen.

Das PoC:

1. betritt einen privaten User-/Network-Namespace, erstellt TUN-Geräte und ein OVS/netkit/VXLAN-Setup, das übergroßen Receive-Headroom propagiert
2. groomt 4 KiB skb-Heads neben Pipe-Rings, die einen einbyte-großen file-backed Buffer aus /etc/pam.d/su enthalten
3. sendet Kandidaten-TUN-Pakete, deren Out-of-Bounds-OVS-Write PIPE_BUF_FLAG_CAN_MERGE in einem nahegelegenen pipe_buffer setzen kann, und
4. schreibt pam_permit.so durch die Pipe und schließt mit su - root ab.

Das PoC geht von x86-64 aus und zielt darauf ab, um die Sache einfach zu halten. Theoretisch sollte der Bug nicht architekturspezifisch sein.

Anforderungen

Zur Vollständigkeit erschöpfend aufgelistet:

• Fedora 44 Server mit 6.19.10-300.fc44.x86_64 oder Ubuntu 24.04.4 mit 6.17.0-40-generic (Sie können versuchen, diese Prüfungen zu entfernen, aber andere Distributionen/Kernel-Versionen erfordern möglicherweise ziel-spezifische Anpassung/Grooming)
• Ein gewöhnliches Nicht-Root-Konto, ein unmodifiziertes /etc/pam.d/su, das pam_rootok.so enthält, sowie die PAM-Module pam_rootok.so und pam_permit.so
• Logische CPU 0 in der Prozess-Affinitätsmaske
• Unprivilegierte User-/Network-Namespace-Erstellung mit CAP_NET_ADMIN innerhalb dieses Namespace
• Ein zugängliches /dev/net/tun sowie TUN-, Open vSwitch-Datapath-, netkit- und VXLAN-Kernel-Unterstützung
• Berechtigung zum Erstellen von 256 KiB Pipe-Rings und Kapazität für ungefähr 800 offene Dateideskriptoren
• Diverse Userspace-Dinge (die getesteten Distributionen im Geltungsbereich sollten die meisten standardmäßig haben): Python 3.10+, ip, unshare, true und , plus und das geladene -Profil unter Ubuntu, falls direktes verweigert wird

Beide Ziele wurden mit 29 vCPUs bei 4 GB und 32 GB RAM getestet, wobei letzteres zuverlässiger ist. Andere CPU-/Speicher-Kombinationen erfordern möglicherweise mehr Grooming und können das Überschreiben in unrelated Speicher umleiten.

Führen Sie es als unprivilegierter Benutzer mit einem passwd-Eintrag aus.

Verwendung

python3 tunderflow_root_repro.py