sgkdev/ptrace_may_dreamCVE-2026-31431-killed page-cache exploit — Code-Ausführung in Container, die dieselbe Image-Ebene teilen
CVE-2026-46333
Lokaler Privilegieneskalations-Exploit für die ptrace_may_access()-mm=NULL-Race-Condition in pidfd_getfd(2).
Wenn ein Prozess stirbt und sein mm bereits freigegeben wurde, überspringt der Kernel die ptrace-Zugriffsprüfung vollständig. Durch Ausnutzen der Race-Condition zwischen pidfd_getfd() und dem Prozessende kann ein unprivilegierter Benutzer offene Dateideskriptoren von einem privilegierten Prozess stehlen.
Dieser Exploit zielt auf accounts-daemon ab: Er löst ein kurzlebiges Kind (via SetIconFile) aus, gewinnt das Rennen, um den D-Bus-Socket-FD des Daemons zu greifen, und sendet dann SetShell-, SetAccountType- und SetPassword-Aufrufe, um den aufrufenden Benutzer zu einem passwortbekannten Admin-Konto zu befördern.
Der Exploit setzt das Passwort des Zielbenutzers auf einen hartcodierten Wert – vor dem Bauen in der Quelle bearbeiten :)
Getestet auf RHEL 10 und Fedora 44 mit dbus-broker (D-Bus-Socket auf FD 5).
make
./ptrace_may_dream [--retries N] [--nthreads N] [fd-slot]
„Der Prozess ist tot, es lebe der Prozess.“ – der Kernel, vermutlich