perongh/badepoll-selinux-disablerVerwenden Sie CVE-2026-43074, um SELinux unter Android (Linux 6.6/6.12) zu deaktivieren.
Eigenständiger Auszug der SELinux-deaktivierenden Stufe aus dem CVE-2026-43074-Eventpoll-UAF-Exploit. Er nutzt die eventpoll-Schleifentiefenprüfung (ep_get_upwards_depth_proc) mit einer Race-Bedingung aus, um eine Null in selinux_state.enforcing zu schreiben und das Gerät durch einen Ein-Byte-Kernel-Write in den Modus Permissive zu versetzen. Dies ist ausschließlich die MAC-deaktivierende Primitive – keine Privilegieneskalation.
[!WARNING] Kernel-Exploit-Proof-of-Concept. Kann den Kernel zum Absturz bringen, Daten beschädigen oder das Gerät in einen inkonsistenten Zustand versetzen. Nur auf Geräten ausführen, die dir gehören oder für die du eine Testfreigabe hast. Erstelle vorher ein Backup.
Aus dem vollständigen PoC von NebuSec herausgelöst (Quellbaum). Die UAF befindet sich in der eventpoll-Schleifentiefenprüfung (ep_get_upwards_depth_proc), die epi->ep unter RCU durchläuft, während ep_free() die struct eventpoll aus einem nebenläufigen Thread freigeben kann. Upstream hat dies behoben, indem die Freigabe auf eine RCU-Grace-Period verschoben wurde (Commit 07712db8; NVD, OSV).
Dies ist zu unterscheiden von „Bad Epoll“ (CVE-2026-46242), einem separaten Use-after-Free in ep_remove() im selben eventpoll-Code; die Race-Bedingung hier ist konkret der von 07712db8 behobene Lifetime-Fehler der Schleifentiefenprüfung.
Laut der kernel.org-CNA (über OSV/NVD) sind dies die verwundbaren Stable-Streams und ihre Fixes:
6.4.0 – <6.6.136 (behoben 6.6.136)6.7.0 – <6.12.83 (behoben 6.12.83)6.13.0 – <6.18.24 (behoben 6.18.24)6.19.0 – <6.19.14 (behoben 6.19.14)Der fixierte Zielkernel 6.6.118-android15-8 liegt innerhalb des betroffenen 6.6-Bereichs (behoben in 6.6.136). Hersteller-Kernel, die den Fix zurückportiert haben, ohne die Upstream-Version anzupassen, sind nicht verwundbar – prüfe das tatsächliche Vorhandensein des Patches, statt dich nur auf uname -r zu verlassen.
Fixiert auf einen exakten Build – das Enforcing-Byte wird über ein fest verdrahtetes KVA-Alias erreicht, und die Race-Bedingung hängt vom Slab-Layout des jeweiligen Kernels ab:
6.6.118-android15-8-g53e6e091166e-ab15266607-4kgoogle/blazer/blazer:17/CP2A.260705.006/15641320:user/release-keysTARGET_SELINUX_ENFORCING_ALIAS = 0xffffff800236a2e0Für ein anderes Build-Ziel muss das Alias neu berechnet werden (Image-Offset von selinux_state + Mapping-Basis + Ladeadresse) in src/target.h.
Benötigt das Android-NDK mit der AArch64-Clang-Toolchain. Standardmäßig werden NDK_ROOT=/opt/android-ndk und API=35 verwendet:
make # → build/disabler
Bei Bedarf überschreiben:
make API=35 NDK_ROOT=/path/to/android-ndk
build/disabler auf das Gerät übertragen und als Benutzer shell (uid 2000) ausführen. SELinux muss zu Beginn Enforcing sein; andernfalls überspringt das Binary. Bei Erfolg:
SELINUX_AFTER Permissive
RESULT PASS selinux_zero attempt=N
Mit getenforce → Permissive überprüfen.
Der ursprüngliche Exploit fügt zusätzlich zu dieser Primitive eine Pipe-Buffer-flags-Umleitung (DirtyPipe-artiger Write in eine schreibgeschützte Page-Cache-Seite) hinzu, die /system/bin/dumpstate patcht, um einen Root-Daemon zu starten. Diese Stufen (pipe.c, patch.c, su.c, payloads.S sowie die Orchestrierung im ursprünglichen main.c) sind hier entfernt, und late_refs.c ist auf seinen Zero-Byte-Redirect-Pfad reduziert. Das alleinige Deaktivieren von SELinux gewährt kein Root – es entfernt lediglich die MAC-Durchsetzung, sodass die Träger-Payload uneingeschränkt laufen kann.