BAD_GARBAGE.c

CVE-2026-53361 — ein unprivilegierter, container-escape-fähiger use-after-free im AF_UNIX-Socket-Garbage-Collector. Dies ist die Einzel-Vektor-Version (nur MSG_PEEK).

Der Bug

Der AF_UNIX-GC gibt "in-flight"-Sockets frei, die unerreichbare Referenzzyklen bilden. Ein gleichzeitiger MSG_PEEK auf einen in-flight fd nimmt eine Referenz, die die GC-Zählung nie erfasst, sodass der Collector einen noch lebenden Socket freigeben und ein verwaistes sk_buff hinterlassen kann. Der Peek soll sich zurückziehen, während ein GC-Lauf läuft, aber das gc_in_progress-Flag, das er prüft, kann während des Laufs fälschlicherweise false lesen, sodass der Peek durchrutscht und das Race offen ist.

Dieselbe Interaktion, dreimal behoben:

• CVE-2021-0920 — cbcf01128d0a "af_unix: fix garbage collect vs MSG_PEEK"
• CVE-2026-23394 — e5b31d988a41 "af_unix: Give up GC if MSG_PEEK intervened"
• CVE-2026-53361 — d82ba05263c6 "af_unix: Set gc_in_progress to true in unix_gc()"

Ziele

Anfällig = vom Bug betroffen. Abgedeckt = von diesem Exploit abgedeckt (einzelner MSG_PEEK-Vektor). Die 7.x-Kernel und der Ubuntu-6.8-GA-Kernel sind anfällig, liegen aber außerhalb des Rahmens.

Einige getestete Kernel

Hinweise

• CPU-Anzahl — ausgelegt für weniger als 8 CPUs (2–7). Eine bewusste Entscheidung, keine Zuverlässigkeits-Eigenheit: Die saubere Order-N-Strategie wurde absichtlich weggelassen; es lohnt sich nicht, sie für einen -1-day-Bug offenzulegen.
• SLUB-Cache-Armoring — Der Großteil des Cache-Armoring-/Shadowing-Codes wurde aus dem PoC entfernt. Die SID-Leak-Phase kann gelegentlich mit einem zufälligen kmalloc() niedriger Ordnung oder einer bestimmten pro-Cache-PCP-Wiederverwendung kollidieren (anon_vma, kmalloc-64 und Verwandte); die höheren Buckets sind sicher, die dedizierten Caches und unteren Buckets nicht. Füge dein eigenes Armoring hinzu, um es auf ~100 % zu bringen.